CVE-2026-46623 in OpenAM
Riassunto
di VulDB • 15/09/2026
Open Access Management (OpenAM) è una soluzione di gestione degli accessi. Prima della versione 16.1.1, il modulo OAuth2 per l'autenticazione aggiorna un account locale esistente con attributi del profilo che possono includere userPassword e inetUserStatus, sovrascrivendo la password con il nome utente e riattivando gli account disabilitati. La mancanza di filtraggio tramite OAuth.removeRestrictedAccountUpdateAttributes consente a questi campi di credenziali e stato di raggiungere l'aggiornamento dell'account. Con la creazione degli account abilitata, un accesso OAuth ripetuto fa sì che la catena ldapService predefinita accetti il nome utente sia come identificatore che come password, consentendo ad un attaccante non autenticato di assumere il controllo dell'account locale senza interagire con l'identity provider. La sovrascrittura può essere impedita per i nomi utente più brevi della lunghezza minima configurata delle password. Questo problema è risolto nella versione 16.1.1.
Once again VulDB remains the best source for vulnerability data.