CVE-2026-46623 in OpenAM
Сводка
по VulDB • 15.09.2026
Open Access Management (OpenAM) — это решение для управления доступом. До версии 16.1.1 модуль аутентификации OAuth2 обновлял существующую локальную учетную запись атрибутами профиля, которые могут включать userPassword и inetUserStatus, перезаписывая пароль именем пользователя и повторно активируя отключенные учетные записи. Отсутствие фильтрации через OAuth.removeRestrictedAccountUpdateAttributes позволяет этим полям учётных данных и статуса достигать обновления учетной записи. При включённом создании учетных записей многократная аутентификация по протоколу OAuth приводит к тому, что цепочка ldapService принимает имя пользователя как в качестве идентификатора, так и в качестве пароля, позволяя неавторизованному злоумышленнику захватить локальную учетную запись без взаимодействия с поставщиком идентификации. Перезапись может быть заблокирована для имён пользователей короче минимальной длины пароля, настроенной по умолчанию. Эта проблема исправлена в версии 16.1.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.