CVE-2026-105119
Orta
Təsvir
16.1.3 versiyasından əvvəlki OpenAM, OAuth2 Provider PKCE tətbiqini yalnız response_type parametri dəqiq olaraq code olan avtorizasiya sorğularına şamil edir, buna görə də OpenID Connect hibrid axınları (code token, code id_token, code token id_token) vasitəsilə verilmiş kodlar heç bir bağlı challenge daşımır. Belə kodu ələ keçirən hücumçu, istənilən boş olmayan code_verifier ilə həmin kodu ictimai müştəri tokenləri ilə əvəz edə bilər.
CiddilikOrta
CVSS6.8
İstismar ehtimalı—
MəhsulOpenAM
Dərc3 okt 2026
İlk görülmə3 okt 2026
Zəiflik növüCWE-285CWE-285
Necə düzəltmək olar
Yeniləyin
- OpenIdentityPlatform OpenAM16.1.3 və ya daha yeni versiya
İstehsalçı bildirişləri
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| OpenIdentityPlatform OpenAM | v < 16.1.3 | 16.1.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Intelligence 360 paketində
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.