Omnispace Agora Project - multiple issues critiques (SQLi/Code Injection/ insecure randomness etc.)

Le contexte

Un ensemble de CVEs affectant Agora Project (PHP et composants SQL/Code Injection, randomisation et prochaines couches) accentuent les risques d’injections SQL et exécution de code.

Vecteur d'attaque

Divers vecteurs incluant injection SQL et injection/écriture dans des fichiers, exécution distante potentielle.

Systèmes impactés

| Produit | Versions affectées | Versions corrigées | | --- | --- | --- | | Omnispace Agora Project | PHP modules vulnérables listés ci-dessous | 26.10.0 ou versions patchées selon CVE |

Statut du correctif : Corrections publiées par l’éditeur sur plusieurs CVE

Les vulnérabilités

CVE-2026-63146 : Code Injection

Omnispace Agora Project · CVSS 9.8

Code injection via des éléments écrits dans config à l’installation combinée à des injections SQL via PDO.

Impact : Exécution de code à distance sur le serveur Agora Project.

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

CVE-2026-63149 : Insecure Randomness

Omnispace Agora Project · CVSS 9.1

Insecure randomness permettant la prédiction de mots de passe temporaires générés par Txt::defaultPassword().

Impact : Prise de compte via mot de passe prévisible.

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

CVE-2026-63152 : SQL Injection (second order)

Omnispace Agora Project · CVSS 8.6

Injection SQL stockée via le paramètre de filtre stocké dans la session et utilisé dans une requête SQL.

Impact : Accès illégal/modification des données.

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

CVE-2026-63165 : SQL Injection (sortEvents)

Omnispace Agora Project · CVSS 8.6

Injection SQL via le paramètre sortEvents concaténé dans ORDER BY.

Impact : Exfiltration/détournement de données via requêtes malveillantes.

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

Recommandations

• Mettre à jour Agora Project et composants affectés vers les versions patchées.
• Auditer les paramètres et contrôles d’accès des modules CMS/ERP Agora.

Ce qu'il faut retenir

Mettre à jour Agora Project et composants dépendants; auditer les endpoints exposés et les contrôles d’accès.

Analyse issue du bulletin de veille Kreomnis du 14 octobre 2026 (fenêtre : 13 octobre 2026). Sources croisées listées ci-dessous.

• Kreomnis Vigie