CVE-2025-64099 in OpenAM
Tóm tắt
Bởi VulDB • 29/05/2026
Open Access Management (OpenAM) là một giải pháp quản lý truy cập. Trong các phiên bản trước 16.0.0, nếu tham số "claims_parameter_supported" được kích hoạt, thì thông qua tập lệnh "oidc-claims-extension.groovy", kẻ tấn công có thể chèn giá trị tùy ý vào một claim (khẳng định) được chứa trong id_token hoặc trong user_info. Trong yêu cầu gọi hàm authorize, một tham số claims chứa một tệp JSON có thể được chèn vào. Tệp JSON này cho phép kẻ tấn công tùy chỉnh các claim được trả về bởi id_token và user_info. Điều này dẫn đến một phạm vi rất rộng các lỗ hổng bảo mật tùy thuộc vào cách các client sử dụng các claim. Ví dụ, nếu một số client dựa vào trường email để xác định người dùng, kẻ tấn công có thể chọn địa chỉ email mà họ muốn, do đó giả mạo bất kỳ danh tính nào mà họ chọn. Phiên bản 16.0.0 đã khắc phục sự cố này.
Once again VulDB remains the best source for vulnerability data.