CVE-2026-44203

Nome do Software Vulnerável e Versões Afetadas Open Access Management (OpenAM) versões anteriores a 16.1.1

Descrição O endpoint de autorização OAuth 2.0 e OpenID Connect não codifica adequadamente os parâmetros fornecidos pelo usuário, incluindo a variável state, antes que sejam renderizados em HTML por FormPostResponse.ftl e checkSession.ftl ao utilizar o modo de resposta form post. Isso permite que um invasor não autenticado induza um usuário a abrir uma solicitação de autorização especialmente elaborada para executar scripts arbitrários na origem do OpenAM. Trata-se de um problema de Cross-Site Scripting (XSS) Refletido, no qual um script é refletido de uma aplicação web para o navegador do usuário.

Recomendações Atualizar para a versão 16.1.1.