CVE-2026-46498 in OpenAM
요약
\~에 의해 VulDB • 2026. 09. 15.
Open Access Management(OpenAM)은 접근 관리 솔루션입니다. 버전 16.1.1 이전의 OAuthTokenStore는 공유 Core Token Store(CTS)에서 호출자가 제공한 토큰 식별자를 OAuth 전용 네임스페이스 없이 읽으며, OAuthAdapter는 BLOB에 OAuth 토큰이 포함되어 있다고 주장하는 행을 신뢰할 수 있는 CTS 유형으로 바인딩하거나 무결성을 검증하지 않고 허용합니다. 알려진 토큰 식별자(예: Push Registration 후 활성화된 리alm에서 익명 SNS 콜백) 아래 CTS에 제어 가능한 JSON을 삽입할 수 있는 공격자는 선택한 subject, client, realm 및 scope를 사용하여 OAuth bearer 토큰과 OpenID Connect ID 토큰을 발급(mint)할 수 있습니다. 이 결함 자체로는 OpenAM SSO 세션을 생성하거나 콘솔 접근 권한을 부여하지는 않습니다. 이 문제는 버전 16.1.1에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.