CVE-2026-46498 in OpenAM
Zusammenfassung
von VulDB • 15.09.2026
Open Access Management (OpenAM) ist eine Lösung für das Zugriffsmanagement. Vor Version 16.1.1 liest OAuthTokenStore vom Aufrufer bereitgestellte Token-Bezeichner aus dem gemeinsamen Core Token Store (CTS), ohne ein nur für OAuth vorgesehenes Namespace zu verwenden, und OAuthAdapter akzeptiert eine Zeile, deren BLOB behauptet, einen OAuth-Token zu enthalten, ohne den vertrauenswürdigen CTS-Typ zu binden oder die Integrität zu überprüfen. Ein Angreifer, der kontrolliertes JSON unter einem bekannten Token-Bezeichner im CTS platzieren kann – beispielsweise durch Push Registration gefolgt von einer anonymen SNS-Rückmeldung in einer aktivierten Realm –, kann OAuth-Bearer-Token und OpenID Connect ID-Tokens mit gewähltem Subject, Client, Realm und Scope erstellen. Der Fehler erzeugt allein keine OpenAM SSO-Sitzung oder gewährt keinen Konsolenzugriff. Dieses Problem wurde in Version 16.1.1 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.