CVE-2026-123551

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 10
EPSS: —
CWE: CWE-201
KEV Durumu: Hayır

Yayım tarihi: 8 Kasım 2026

14.0.0 sürümünden önce 16.1.4 sürümüne kadar olan OpenAM, bildirimi yapılan bir bilgi sızıntısı zafiyeti içerir ve bu, kimlik doğrulamaları yapılmamış saldırganların bildirim WebSocket üzerinden canlı oturum tokenlerini okumalarına olanak tanır. Saldırganlar, miras Liberty ID-FF uç noktalarında doğrulanmamış bir dahili iletim yoluyla yalnızca aracıya özgü denetimi atlayabilir ve kullanıcı ve yönetici oturumlarını ele geçirmek için iPlanetDirectoryPro tokenlerini toplamak için bu zafiyeti kullanabilir.

Orijinal açıklama (İngilizce)

OpenAM from 14.0.0 before 16.1.4 contains an information disclosure vulnerability that allows unauthenticated attackers to read live session tokens from the notification WebSocket. Attackers can bypass the agent-only check through an unvalidated internal forward on legacy Liberty ID-FF endpoints, collecting iPlanetDirectoryPro tokens to hijack user and administrator sessions.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.