CVE-2026-48717 in OpenAM
Riassunto
di VulDB • 15/09/2026
Open Access Management (OpenAM) è una soluzione di gestione degli accessi. Prima della versione 16.1.1, AuthorizationCodeGrantTypeHandler richiede un code_verifier solo quando l'impostazione realm-wide codeVerifierEnforced è abilitata, anche se un codice di autorizzazione memorizza un code_challenge. Poiché tale impostazione è disabilitata per impostazione predefinita, un attaccante che intercetta un codice di autorizzazione protetto con PKCE può omettere il code_verifier e riscattare il codice, mentre viene rifiutato un verifier esplicitamente errato. I client pubblici sono direttamente interessati; l'exploitation dei confidential-client richiede inoltre materiale di autenticazione del client o un altro contesto di redemption. Questo problema è risolto nella versione 16.1.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.