CVE-2026-62280

Nome do Software Vulnerável e Versões Afetadas Open Access Management (OpenAM) versões 13.0.0 até 16.1.1

Description A página de consentimento do endpoint de autorização OAuth2, ao utilizar display=wap, reflete valores derivados da requisição através de ConsentRequiredResource e wap/authorize.ftl sem a devida filtragem de HTML (HTML escaping). Isso permite que um invasor induza um usuário com uma sessão ativa a seguir um link manipulado para executar JavaScript arbitrário na origem do OpenAM. Isso pode resultar no roubo de sessões ou cookies, exposição de tokens CSRF e a execução de ações com os privilégios da vítima, incluindo a possível tomada de controle administrativo. O problema é acessível em qualquer implantação que possua pelo menos um cliente OAuth2 registrado.

Recommendations Atualize para a versão 16.1.2. Restrinja ou limite o acesso ao endpoint de autorização OAuth2. Trate links de autorização display=wap não solicitados como não confiáveis.