CVE-2026-53660 in OpenAM
Tóm tắt
Bởi VulDB • 15/09/2026
Open Access Management (OpenAM) là một giải pháp quản lý truy cập. Trước phiên bản 16.1.1, cấu hình mặc định khởi tạo cookie SSO iPlanetDirectoryPro với HttpOnly bị vô hiệu hóa và không có giá trị mặc định SameSite bảo vệ, đồng thời các luồng đồng ý OAuth và OpenID Connect tái sử dụng cookie này thông qua CsrfProtection như một token CSRF. Khi kết hợp với lỗ hổng cross-site scripting (XSS) cùng nguồn gốc (same-origin) và người dùng nhấp vào liên kết do kẻ tấn công kiểm soát, cookie có thể bị đọc và tái sử dụng để đánh cắp phiên SSO và hoàn tất các khoản ủy quyền đồng ý do kẻ tấn công điều khiển. Vấn đề này đã được sửa chữa trong phiên bản 16.1.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.