CVE-2026-46623

Open Access Management (OpenAM) bir erişim yönetimi çözümüdür. 16.1.1 sürümünden önce, OAuth2 kimlik doğrulama modülü; mevcut yerel bir hesabı, userPassword ve inetUserStatus değerlerini içerebilen profil öznitelikleriyle güncelleyerek parolayı kullanıcı adı ile yeniden yazmakta ve devre dışı bırakılmış hesapları yeniden etkinleştirmektedir. Eksik olan OAuth.removeRestrictedAccountUpdateAttributes filtrelemesi, bu kimlik bilgisi ve durum alanlarının hesap güncellemesine ulaşmasına izin vermektedir. Hesap oluşturmanın etkin olduğu durumlarda, tekrarlanan OAuth girişleri varsayılan ldapService zincirinin kullanıcı adını hem tanımlayıcı hem de parola olarak kabul etmesine neden olarak, kimliği doğrulanmamış bir saldırganın kimlik sağlayıcıyla etkileşime girmeden yerel hesabı ele geçirmesine olanak tanır. Yeniden yazma işlemi, yapılandırılan minimum parola uzunluğundan daha kısa olan kullanıcı adları için reddedilebilir. Bu sorun 16.1.1 sürümünde düzeltilmiştir.