PT-2026-139831

CVE-2026-123550

Publicado

2026-11-08

Atualizado

2026-11-08

Descrição por

CVSS 3.1

9.8

Crítica

MétricasAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas OpenAM versões anteriores a 16.1.4

Descrição Existe uma falha de bypass de autenticação no provedor de serviço SAML v2.0. O sistema aceita asserções não assinadas nas ligações ECP (PAOS) e HTTP-Artifact quando a variável WantAssertionsSigned está definida como false. Isso permite que atacantes remotos não autenticados enviem asserções forjadas para obter sessões como qualquer usuário mapeado, incluindo administradores, e sequestrem o single sign-on de aplicações dependentes.

Recomendações Atualize o OpenAM para a versão 16.1.4 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores