CVE-2026-48717 in OpenAM
Sumário
de VulDB • 15/09/2026
O Open Access Management (OpenAM) é uma solução de gestão de acessos. Antes da versão 16.1.1, o AuthorizationCodeGrantTypeHandler exige um code_verifier apenas quando a configuração realm-wide codeVerifierEnforced está ativada, mesmo que um código de autorização armazene um code_challenge. Como essa configuração está desativada por padrão, um atacante que intercepte um código de proteção PKCE pode omitir o code_verifier e resgatar o código, enquanto um verifier explicitamente incorreto é rejeitado. Os clientes públicos são diretamente afetados, e a exploração em clientes confidenciais requer adicionalmente material de autenticação do cliente ou outro contexto de resgate. Este problema foi corrigido na versão 16.1.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.