CVE-2026-123549

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.8
EPSS: —
CWE: CWE-269
KEV Durumu: Hayır

Yayım tarihi: 8 Kasım 2026

OpenAM 16.1.4 sürümünden önce, self-kayıt sırasında Geçerli Oluşturma Öznitelikleri listesini zorlamayı başaramaz, bu da anonim saldırganların grup üyeliği dahil olmak üzere kısıtlı öznitelikleri ayarlamasına olanak tanır. Saldırganlar, yönetici gruplarına katılmak ve OpenAM üzerinde tam yönetici kontrolü elde etmek için miras self-hizmet REST uç noktası veya Kullanıcı Self-Service akışını kullanarak kaydolabilir.

Orijinal açıklama (İngilizce)

OpenAM before 16.1.4 fails to enforce the Valid Creation Attributes list during self-registration, allowing anonymous attackers to set restricted attributes including group membership. Attackers can register through the legacy self-service REST endpoint or User Self-Service flow to join administrative groups and gain full administrative control of OpenAM.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.