CVE-2026-47426

Nome do Software Vulnerável e Versões Afetadas Open Access Management (OpenAM) versões anteriores a 16.1.1

Description Um problema de autenticação inadequada existe no caminho de autenticação de cliente private key jwt. O sistema utiliza ClientJwksResolverCache sem vincular de forma confiável um resolver jwks uri em cache e uma asserção verificada ao clientID esperado em ClientCredentialsReader. Isso permite que um invasor que controle qualquer cliente registrado com chaves publicadas, incluindo aquelas obtidas por meio de registro dinâmico aberto, se autentique como outro cliente cujas chaves estejam expostas via jwks uri. Consequentemente, o invasor pode emitir tokens em nome desse cliente em diferentes realms no mesmo processo do OpenAM.

Recommendations Atualizar para a versão 16.1.1.