CVE-2026-46623

Nome do Software Vulnerável e Versões Afetadas Open Access Management (OpenAM) versões anteriores a 16.1.1

Descrição O módulo de autenticação OAuth2 não implementa a filtragem OAuth.removeRestrictedAccountUpdateAttributes, permitindo que atributos de perfil como userPassword e inetUserStatus alcancem o processo de atualização de conta. Essa falha permite que o sistema reescreva a senha de uma conta local para coincidir com o nome de usuário e reative contas desativadas. Quando a criação de conta está habilitada, logins OAuth repetidos fazem com que a cadeia ldapService aceite o nome de usuário tanto como identificador quanto como senha. Consequentemente, um invasor não autenticado pode assumir o controle de uma conta local sem interagir com o provedor de identidade. Essa reescrita pode ser negada se o nome de usuário for menor que o comprimento mínimo de senha configurado.

Recomendações Atualizar para a versão 16.1.1.