PT-2026-140220
CVE-2026-121825
·
تاريخ النشر
2026-11-09
·
تاريخ التحديث
2026-11-09
الوصف من
CVSS 3.1
6.1
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
OpenAM (OpenAM Consortium Edition) الإصدارات السابقة لـ 14.0.6
Description
توجد ثغرة إعادة توجيه مفتوحة في تدفق تسجيل الدخول الموحد لمزود خدمة Liberty ID-FF. يستخدم نقطة النهاية
/preLogin المعلمة goto لتخزين RelayState لطلب مصادقة Liberty ID-FF دون التحقق من صحتها. بعد أن يكمل المستخدم عملية تسجيل الدخول الموحد لدى مزود الهوية، تقوم خدمة استهلاك التأكيد بإعادة توجيه المتصفح إلى القيمة المخزنة في goto. يمكن لمهاجم عن بُعد غير مصرح له استخدام رابط مُعد خصيصاً لإعادة توجيه المستخدمين الذين تم التحقق من هويتهم إلى موقع ويب عشوائي، مما قد يسهل هجمات التصيد الاحتيالي. تؤثر هذه المشكلة فقط على عمليات النشر التي تم فيها تكوين مزود خدمة مستضاف Liberty ID-FF، حيث لا يتم تكوينه افتراضياً.Recommendations
التحديث إلى الإصدار 14.0.6.
تقييد الوصول إلى نقطة النهاية
/preLogin إذا لم تكن خدمة Liberty ID-FF مطلوبة. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾