CVE-2026-53660 in OpenAM
Zusammenfassung
von VulDB • 15.09.2026
Open Access Management (OpenAM) ist eine Zugriffverwaltungslösung. Vor Version 16.1.1 wird das iPlanetDirectoryPro-SSO-Cookie in der Standardkonfiguration mit deaktiviertem HttpOnly und ohne schützendes SameSite-Standardattribut initialisiert, und OAuth- sowie OpenID Connect-Zustimmungsflüsse verwenden dieses Cookie über CsrfProtection als CSRF-Token. In Kombination mit einer Cross-Site Scripting (XSS)-Schwachstelle innerhalb derselben Herkunft (same-origin) und einem Benutzer, der einen von einem Angreifer kontrollierten Link aufruft, kann das Cookie ausgelesen und wiederverwendet werden, um die SSO-Sitzung zu stehlen und zustimmungsgetriebene Genehmigungen durch den Angreifer abzuschließen. Dieses Problem wurde in Version 16.1.1 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.