CVE-2026-121825

Nome do Software Vulnerável e Versões Afetadas OpenAM (OpenAM Consortium Edition) versões anteriores a 14.0.6

Description Um problema de redirecionamento aberto existe no fluxo de login único do provedor de serviço Liberty ID-FF. O endpoint /preLogin utiliza o parâmetro goto para armazenar o RelayState da solicitação de autenticação Liberty ID-FF sem a devida validação. Após o usuário concluir o processo de login único no provedor de identidade, o serviço de consumidor de asserção redireciona o navegador para o valor armazenado em goto. Um invasor remoto não autenticado pode usar uma URL manipulada para redirecionar usuários autenticados para um site arbitrário, potencialmente facilitando ataques de phishing. Este problema afeta apenas implantações nas quais um provedor de serviço hospedado Liberty ID-FF está configurado, pois este não é habilitado por padrão.

Recommendations Atualizar para a versão 14.0.6. Restringir o acesso ao endpoint /preLogin se o Liberty ID-FF não for necessário.