CVE-2026-62280 in OpenAM
요약
\~에 의해 VulDB • 2026. 09. 15.
Open Access Management (OpenAM)은 접근 관리 솔루션입니다. 버전 13.0.0부터 16.1.2까지, OAuth2 authorize endpoint의 display=wap 동의 페이지는 ConsentRequiredResource 및 wap/authorize.ftl을 통해 요청에서 파생된 값을 HTML 이스케이프 없이 반영합니다. 공격자는 활성 OpenAM 세션을 가진 사용자가 조작된 인증 링크를 클릭하도록 유도하여 OpenAM 원본 도메인 내에서 JavaScript를 실행할 수 있으며, 이를 통해 세션 또는 쿠키 탈취, CSRF 토큰 유출 및 피해자의 권한으로 작업이 가능합니다. 최소한 하나의 등록된 OAuth2 클라이언트가 필요하지만, 공격자는 해당 클라이언트를 제어할 필요가 없습니다. 이 문제는 버전 16.1.2에서 수정되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.