CVE-2026-105120

OpenAM przed wersją 16.1.3 zawiera podatność na SSRF (Server-Side Request Forgery). Atakujący, którzy mogą rejestrować lub modyfikować klientów OAuth 2.0, mogą sprawić, że OpenAM pobierze wewnętrzne zasoby poprzez niezweryfikowany jwks_uri. Mogą wywołać nieuwierzytelnione pobrania w celu badania wewnętrznych hostów, punktów metadanych lub plików lokalnych, a także wyczerpać wątki żądań dla DoS.

OpenAM przed wersją 16.1.3 zawiera podatność na nieprawidłową autoryzację, która pozwala delegowanym administratorom niszczyć sesje poza ich realmami, ponieważ sprawdzanie realm używa realmu żądającego. Uwierzytelnione konta z atrybutem iplanet-am-session-destroy-sessions mogą podać identyfikator lub uchwyt sesji, aby wylogować użytkowników w dowolnym realmie.

OpenAM przed wersją 16.1.3 stosuje wymuszanie PKCE dla OAuth2 Provider tylko do żądań autoryzacji, których response_type jest dokładnie 'code'. Kody wydane przez hybrydowe przepływy OpenID Connect (code token, code id_token, code token id_token) nie mają powiązanego challenge. Atakujący, który przechwyci taki kod, może go wymienić na tokeny publicznego klienta z dowolnym niepustym code_verifier.

OpenAM przed wersją 16.1.3 zawiera podatność na otwarte przekierowanie, która pozwala nieuwierzytelnionym atakującym przekierowywać użytkowników poprzez podanie niezweryfikowanego id_token_hint do endpointu /oauth2/connect/endSession. Atakujący mogą wskazać dowolnego klienta realm w sfałszowanym hincie, aby przekierować ofiary do dowolnego zarejestrowanego URI po wylogowaniu, co umożliwia phishing wykorzystujący zaufanie do hosta OpenAM.

OpenAM w wersji przed 16.1.3 zawiera podatność na wstrzyknięcie treści wiadomości e-mail, która pozwala nieuwierzytelnionym atakującym kontrolować treść powiadomień e-mail poprzez akcje forgotPassword i register na /json/{realm}/users. Atakujący mogą podać pola subject i message, aby wysyłać wiadomości phishingowe z skonfigurowanego adresu From organizacji lub wykorzystać register jako przekaźnik do dowolnych odbiorców.

OpenAM w wersji przed 16.1.3 zawiera ukrytą wadę cross-site scripting, która umieszcza komunikat SAML, stan przekaźnika i docelowy URL bez kodowania na stronie automatycznego przesyłania pliku cookie load-balancera. Jeśli strona jest osiągalna przy włączonym cookieHashRedirectEnabled, spreparowane żądania mogą wykonać skrypt w origin OpenAM, choć niezwiązany błąd HTTP 500 uniemożliwia wykorzystanie w wydanych wersjach.

OpenAM przed wersją 16.1.3 zawiera podatność na nieuwierzytelnioną instancjację dowolnych klas w starszym interfejsie JAX-RPC SOAP. Zdalny atakujący może wysyłać żądania SOAP do /jaxrpc/* z niezweryfikowanym identyfikatorem sesji i wybraną nazwą klasy, co może doprowadzić do awarii serwera, badania classpath lub potencjalnie wykonania kodu.

OpenAM w wersji przed 16.1.3 zawiera podatność na odbity cross-site scripting, która pozwala nieuwierzytelnionym atakującym wstrzyknąć skrypt poprzez dostarczenie spreparowanych parametrów renderowanych bez kodowania na stronie błędu autoryzacji OAuth2. Atakujący mogą zwabić ofiary do spreparowanego linku /oauth2/authorize z powtórzonymi parametrami, aby uruchomić JavaScript w origin OpenAM, działając w istniejących sesjach lub przekierowując do stron phishingowych.

W OpenAM 10.1.0 występuje podatność XXE (XML External Entity) w ścieżce /SSOPOST/metaAlias/%realm%/idpv2, która pozwala zdalnym atakującym na odczyt dowolnych plików za pomocą parametru SAMLRequest.

W OpenAM w wersjach przed 16.1.2 endpoint pre-autoryzacji /authservice PLL przyjmuje element XML CustomCallback, którego wartość className pozwala na załadowanie i utworzenie dowolnej klasy Java bez weryfikacji, czy implementuje DSAMECallbackInterface. Domyślna konfiguracja udostępnia ten endpoint bez uwierzytelnienia, co umożliwia atakującemu wykonanie kodu w procesie serwera poprzez niebezpieczną deserializację. Włączenie opcji sunRemoteAuthSecurityEnabled nie zapobiega temu, ponieważ sprawdzenie następuje zbyt późno.