CVE-2026-105117

Nome do Software Vulnerável e Versões Afetadas OpenAM versões anteriores a 16.1.3

Description Um problema de injeção de conteúdo de e-mail permite que atacantes não autenticados controlem a redação de e-mails de notificação. Isso é possível por meio das ações forgotPassword e register no endpoint '/json/{realm}/users'. Ao fornecer os campos subject e message, os atacantes podem enviar e-mails de phishing usando o endereço de remetente configurado da organização ou usar o processo de registro como um relé para enviar e-mails para destinatários arbitrários.

Recommendations Atualize para a versão 16.1.3 ou posterior. Restrinja o acesso ao endpoint '/json/{realm}/users' para minimizar o risco de exploração.