# CVE-2026-63146 : Omnispace Agora Project - multiple issues critiques (SQLi/Code Injection/ insecure randomness etc.)

> Un ensemble de CVEs affectant Agora Project (PHP et composants SQL/Code Injection, randomisation et prochaines couches) accentuent les risques d’injections SQL et exécution de code.

- Page canonique : https://kreomnisvigie.com/cve/cve-2026-63146-omnispace-agora-project
- Sévérité : Critique · CVSS 9.8 · CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- CISA KEV (exploitation observée) : non
- Éditeur : Omnispace Agora Project
- Produits : Omnispace Agora Project
- Correctif disponible : oui · PoC public : non · Exploitée : non
- Publiée le 14 octobre 2026 · Kreomnis Vigie
- Issue du bulletin du 14 octobre 2026 (13 octobre 2026)
- Mots clés : omnispace-agora-project, code-injection, insecure-randomness, sql-injection-second, sql-injection-sortevents

## Action recommandée

Mettre à jour Agora Project et composants dépendants; auditer les endpoints exposés et les contrôles d’accès.

## 4 CVE dans cet advisory

- CVE-2026-63146 (Omnispace Agora Project) · CVSS 9.8 : Code Injection
- CVE-2026-63149 (Omnispace Agora Project) · CVSS 9.1 : Insecure Randomness
- CVE-2026-63152 (Omnispace Agora Project) · CVSS 8.6 : SQL Injection (second order)
- CVE-2026-63165 (Omnispace Agora Project) · CVSS 8.6 : SQL Injection (sortEvents)

## Le contexte

Un ensemble de CVEs affectant Agora Project (PHP et composants SQL/Code Injection, randomisation et prochaines couches) accentuent les risques d’injections SQL et exécution de code.

## Vecteur d'attaque

Divers vecteurs incluant injection SQL et injection/écriture dans des fichiers, exécution distante potentielle.

## Systèmes impactés

| Produit | Versions affectées | Versions corrigées |
| --- | --- | --- |
| Omnispace Agora Project | PHP modules vulnérables listés ci-dessous | 26.10.0 ou versions patchées selon CVE |

Statut du correctif : Corrections publiées par l’éditeur sur plusieurs CVE

## Les vulnérabilités

### CVE-2026-63146 : Code Injection

Omnispace Agora Project · CVSS 9.8

Code injection via des éléments écrits dans config à l’installation combinée à des injections SQL via PDO.

Impact : Exécution de code à distance sur le serveur Agora Project.

`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`

### CVE-2026-63149 : Insecure Randomness

Omnispace Agora Project · CVSS 9.1

Insecure randomness permettant la prédiction de mots de passe temporaires générés par Txt::defaultPassword().

Impact : Prise de compte via mot de passe prévisible.

`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`

### CVE-2026-63152 : SQL Injection (second order)

Omnispace Agora Project · CVSS 8.6

Injection SQL stockée via le paramètre de filtre stocké dans la session et utilisé dans une requête SQL.

Impact : Accès illégal/modification des données.

`CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N`

### CVE-2026-63165 : SQL Injection (sortEvents)

Omnispace Agora Project · CVSS 8.6

Injection SQL via le paramètre sortEvents concaténé dans ORDER BY.

Impact : Exfiltration/détournement de données via requêtes malveillantes.

`CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N`

## Recommandations

- Mettre à jour Agora Project et composants affectés vers les versions patchées.
- Auditer les paramètres et contrôles d’accès des modules CMS/ERP Agora.

## Ce qu'il faut retenir

Mettre à jour Agora Project et composants dépendants; auditer les endpoints exposés et les contrôles d’accès.

Analyse issue du bulletin de veille Kreomnis du 14 octobre 2026 (fenêtre : 13 octobre 2026). Sources croisées listées ci-dessous.

- Kreomnis Vigie

## Références

- [GitHub Advisories](https://github.com/advisories/GHSA-47mv-g24j-2rhh) (vendor)
- [NVD](https://nvd.nist.gov/vuln/detail/CVE-2026-63146) (nvd)
- [CVE-2026-63149 : source primaire](https://nvd.nist.gov/vuln/detail/CVE-2026-63149) (nvd)
- [CVE-2026-63152 : source primaire](https://nvd.nist.gov/vuln/detail/CVE-2026-63152) (nvd)
- [CVE-2026-63165 : source primaire](https://nvd.nist.gov/vuln/detail/CVE-2026-63165) (nvd)

Source : Kreomnis Vigie, https://kreomnisvigie.com/cve/cve-2026-63146-omnispace-agora-project. Analyse à usage défensif uniquement.