CVE-2026-53660 in OpenAM
要約
〜によって VulDB • 2026年09月15日
Open Access Management (OpenAM) はアクセス管理ソリューションです。バージョン 16.1.1 より前では、デフォルト設定において iPlanetDirectoryPro SSO クッキーが HttpOnly が無効で保護用の SameSite デフォルト値なしで初期化され、OAuth および OpenID Connect の同意フローは CsrfProtection を介して CSRF トークンとしてこのクッキーを再利用します。これに同一オリジンのクロスサイトスクリプティング (XSS) と攻撃者が制御するリンクへのユーザーのクリックが組み合わさると、クッキーを読み取って再利用することで SSO セッションを盗み出し、攻撃者主導の同意付与を完了させることができます。この問題はバージョン 16.1.1 で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.