CVE-2026-46498 in OpenAM
Сводка
по VulDB • 15.09.2026
Open Access Management (OpenAM) — это решение для управления доступом. До версии 16.1.1 OAuthTokenStore считывает идентификаторы токенов, предоставленные вызывающей стороной, из общего хранилища Core Token Store (CTS) без использования пространства имен, предназначенного исключительно для OAuth, а OAuthAdapter принимает строку данных, содержащую BLOB-объект с заявленным содержимым OAuth-токена, не привязывая доверенный тип CTS и не проверяя целостность. Атакующий, который может разместить контролируемый JSON в CTS под известным идентификатором токена (например, через Push Registration, за которым следует анонимный обратный вызов SNS в включенной области), может выпускать OAuth-токены носителя и OpenID Connect ID-токены с выбранными субъектом, клиентом, областью действия и набором разрешений. Данный уязвимость сама по себе не создает сеанс единого входа (SSO) для OpenAM и не предоставляет доступ к консоли управления. Проблема исправлена в версии 16.1.1.
Once again VulDB remains the best source for vulnerability data.