CVE-2024-41667 in OpenAM
Sumário
de VulDB • 08/06/2026
OpenAM é uma solução de gerenciamento de acesso de código aberto. Nas versões 15.0.3 e anteriores, o método `getCustomLoginUrlTemplate` em `RealmOAuth2ProviderSettings.java` é vulnerável a injeção de template devido ao uso de entrada do usuário. Embora o desenvolvedor tivesse a intenção de implementar uma URL personalizada para lidar com o login e substituir a página de login padrão do PingOne Advanced Identity Cloud, ele não restringiu o `CustomLoginUrlTemplate`, permitindo que fosse definido livremente. O commit fcb8432aa77d5b2e147624fe954cb150c568e0b8 introduz `TemplateClassResolver.SAFER_RESOLVER` para desabilitar a resolução de classes comumente exploradas na injeção de template do FreeMarker. Até o momento da publicação, espera-se que essa correção faça parte da versão 15.0.4.
Once again VulDB remains the best source for vulnerability data.