CVE-2026-48717 in OpenAM
الملخص
بحسب VulDB • 15/09/2026
تُعد إدارة الوصول المفتوح (OpenAM) حلاً لإدارة الوصول. قبل الإصدار 16.1.1، يتطلب AuthorizationCodeGrantTypeHandler وجود code_verifier فقط عندما يكون إعداد realm-wide codeVerifierEnforced مفعّلاً، حتى في حال تخزين رمز التفويض لـ code_challenge. ونظراً لأن هذا الإعداد غير مُفعّل افتراضياً، يمكن لمهاجم يقوم باعتراض رمز تفويض محمي بـ PKCE أن يتجاهل code_verifier ويستبدله بالرمز، بينما يتم رفض المتحقق الخاطئ صراحةً. تتأثر العملاء العامون (Public clients) بشكل مباشر، ويتطلب استغلال عملاء السرية (Confidential clients) أيضاً مواد مصادقة للعميل أو سياق استبدال آخر. تم إصلاح هذه المشكلة في الإصدار 16.1.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.