CVE-2026-46623

Open Access Management (OpenAM) giriş idarəetmə həllidir. Versiya 16.1.1-dən əvvəl, OAuth2 autentifikasiya modulu mövcud yerli hesabı userPassword və inetUserStatus daxil ola bilən profil atributları ilə yeniləyir, bu da şifrəni istifadəçi adı ilə əvəz edərək və deaktiv edilmiş hesabları yenidən aktivləşdirərək həyata keçirilir. OAuth.removeRestrictedAccountUpdateAttributes filtrləməsinin olmaması bu etibarlılıq və status sahələrinin hesabın yenilənməsinə çatmasına şərait yaradır. Hesabın yaradılması aktiv olduqda, təkrar OAuth girişi default ldapService zəncirinin istifadəçi adını həm identifikator, həm də şifrə kimi qəbul etməsinə səbəb olur ki, bu da autentifikasiya olunmamış hücumçunun kimlik təminatçısı (identity provider) ilə qarşılıqlı əlaqədə olmadan yerli hesabı ələ keçirməsinə imkan verir. Yenidən yazma prosesi konfiqurasiya edilmiş minimum şifrə uzunluğundan qısa olan istifadəçi adları üçün rədd edilə bilər. Bu problem versiya 16.1.1-də düzəldilmişdir.