CVE-2026-47426
Açıklama
Open Access Management (OpenAM) bir erişim yönetimi çözümüdür. 16.1.1 sürümünden önce, private_key_jwt istemci kimlik doğrulama yolu, önbelleğe alınmış bir jwks_uri çözücü ve doğrulanmış iddiayı ClientCredentialsReader içindeki beklenen clientID ile güvenilir şekilde bağlamadan ClientJwksResolverCache kullanır. Yayınlanmış anahtarlara sahip herhangi bir kayıtlı istemciyi (etkinleştirildiğinde açık dinamik kayıt yoluyla elde edilenler dahil) kontrol eden bir saldırgan, anahtarları jwks_uri üzerinden açığa çıkan başka bir istemci olarak kimlik doğrulayabilir ve aynı OpenAM işlemi içindeki realm'lerde söz konusu istemcinin adına token üretebilir. Bu sorun 16.1.1 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- org.openidentityplatform.openam:openam-oauth216.1.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| org.openidentityplatform.openam:openam-oauth2Maven | v < 16.1.1 | 16.1.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.