CVE-2026-105121

OpenAM przed wersją 16.1.3 zawiera podatność na SSRF (Server-Side Request Forgery). Atakujący, którzy mogą rejestrować lub modyfikować klientów OAuth 2.0, mogą sprawić, że OpenAM pobierze wewnętrzne zasoby poprzez niezweryfikowany jwks_uri. Mogą wywołać nieuwierzytelnione pobrania w celu badania wewnętrznych hostów, punktów metadanych lub plików lokalnych, a także wyczerpać wątki żądań dla DoS.

OpenAM przed wersją 16.1.3 zawiera podatność na obejście autoryzacji w operacji zapytania w REST endpoint sesji, która pozwala administratorom realm na listowanie sesji wszystkich realmów. Atakujący z uprawnieniami delegowanego RealmAdmin mogą podać _queryFilter wskazujący inny realm, aby ujawnić nazwy użytkowników, uniwersalne ID i uchwyty sesji poza granicami dzierżawców.

OpenAM przed wersją 16.1.3 stosuje wymuszanie PKCE dla OAuth2 Provider tylko do żądań autoryzacji, których response_type jest dokładnie 'code'. Kody wydane przez hybrydowe przepływy OpenID Connect (code token, code id_token, code token id_token) nie mają powiązanego challenge. Atakujący, który przechwyci taki kod, może go wymienić na tokeny publicznego klienta z dowolnym niepustym code_verifier.

OpenAM przed wersją 16.1.3 zawiera podatność na otwarte przekierowanie, która pozwala nieuwierzytelnionym atakującym przekierowywać użytkowników poprzez podanie niezweryfikowanego id_token_hint do endpointu /oauth2/connect/endSession. Atakujący mogą wskazać dowolnego klienta realm w sfałszowanym hincie, aby przekierować ofiary do dowolnego zarejestrowanego URI po wylogowaniu, co umożliwia phishing wykorzystujący zaufanie do hosta OpenAM.

OpenAM w wersji przed 16.1.3 zawiera podatność na wstrzyknięcie treści wiadomości e-mail, która pozwala nieuwierzytelnionym atakującym kontrolować treść powiadomień e-mail poprzez akcje forgotPassword i register na /json/{realm}/users. Atakujący mogą podać pola subject i message, aby wysyłać wiadomości phishingowe z skonfigurowanego adresu From organizacji lub wykorzystać register jako przekaźnik do dowolnych odbiorców.

OpenAM w wersji przed 16.1.3 zawiera ukrytą wadę cross-site scripting, która umieszcza komunikat SAML, stan przekaźnika i docelowy URL bez kodowania na stronie automatycznego przesyłania pliku cookie load-balancera. Jeśli strona jest osiągalna przy włączonym cookieHashRedirectEnabled, spreparowane żądania mogą wykonać skrypt w origin OpenAM, choć niezwiązany błąd HTTP 500 uniemożliwia wykorzystanie w wydanych wersjach.

OpenAM przed wersją 16.1.3 zawiera podatność na nieuwierzytelnioną instancjację dowolnych klas w starszym interfejsie JAX-RPC SOAP. Zdalny atakujący może wysyłać żądania SOAP do /jaxrpc/* z niezweryfikowanym identyfikatorem sesji i wybraną nazwą klasy, co może doprowadzić do awarii serwera, badania classpath lub potencjalnie wykonania kodu.

OpenAM w wersji przed 16.1.3 zawiera podatność na odbity cross-site scripting, która pozwala nieuwierzytelnionym atakującym wstrzyknąć skrypt poprzez dostarczenie spreparowanych parametrów renderowanych bez kodowania na stronie błędu autoryzacji OAuth2. Atakujący mogą zwabić ofiary do spreparowanego linku /oauth2/authorize z powtórzonymi parametrami, aby uruchomić JavaScript w origin OpenAM, działając w istniejących sesjach lub przekierowując do stron phishingowych.

W OpenAM 10.1.0 występuje podatność XXE (XML External Entity) w ścieżce /SSOPOST/metaAlias/%realm%/idpv2, która pozwala zdalnym atakującym na odczyt dowolnych plików za pomocą parametru SAMLRequest.

W OpenAM w wersjach przed 16.1.2 endpoint pre-autoryzacji /authservice PLL przyjmuje element XML CustomCallback, którego wartość className pozwala na załadowanie i utworzenie dowolnej klasy Java bez weryfikacji, czy implementuje DSAMECallbackInterface. Domyślna konfiguracja udostępnia ten endpoint bez uwierzytelnienia, co umożliwia atakującemu wykonanie kodu w procesie serwera poprzez niebezpieczną deserializację. Włączenie opcji sunRemoteAuthSecurityEnabled nie zapobiega temu, ponieważ sprawdzenie następuje zbyt późno.