CVE-2026-53660 in OpenAM
Сводка
по VulDB • 15.09.2026
Open Access Management (OpenAM) — это решение для управления доступом. До версии 16.1.1 конфигурация по умолчанию инициализирует SSO-куки iPlanetDirectoryPro с отключенным флагом HttpOnly и без защитного значения SameSite, а потоки согласия OAuth и OpenID Connect используют эту куки через CsrfProtection в качестве CSRF-токена. В сочетании с межсайтовым скриптингом (XSS) того же источника и переходом пользователя по ссылке, контролируемой злоумышленником, эта куки может быть прочитана и повторно использована для кражи SSO-сессии и выполнения согласий на действия, инициированные злоумышленником. Эта проблема исправлена в версии 16.1.1.
Once again VulDB remains the best source for vulnerability data.