CVE-2026-48717 in OpenAM
요약
\~에 의해 VulDB • 2026. 09. 15.
Open Access Management (OpenAM)은 접근 관리 솔루션입니다. 버전 16.1.1 이전에서는 AuthorizationCodeGrantTypeHandler가 realm 전체의 codeVerifierEnforced 설정이 활성화된 경우에만 code_verifier를 요구하며, authorization code에 code_challenge가 저장되어 있더라도 마찬가지입니다. 해당 설정은 기본적으로 비활성화되어 있으므로, 공격자가 PKCE로 보호된 authorization 코드를 가로채면 code_verifier를 생략하고도 코드를 교환할 수 있으며, 명시적으로 잘못된 verifier는 거부됩니다. Public 클라이언트가 직접적인 영향을 받으며, confidential-client의 경우 추가적으로 client authentication material 또는 다른 redemption context가 필요합니다. 이 문제는 버전 16.1.1에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.