CVE-2026-46623
Publiée le 2026-09-15 · Dernière modification le 2026-09-17
Les versions d'Open Access Management (OpenAM) antérieures à la 16.1.1 sont affectées par une faille dans le module d'authentification OAuth2 qui permet à un attaquant de modifier le mot de passe et le statut d'un compte local. En envoyant des attributs de profil spécifiquement conçus lors de la connexion, un attaquant non authentifié peut réinitialiser le mot de passe d'un utilisateur pour qu'il corresponde à son nom d'utilisateur et réactiver des comptes désactivés afin d'en prendre le contrôle total. Cette attaque nécessite un accès réseau et une certaine interaction de l'utilisateur, mais ne requiert aucune authentification préalable.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Open Access Management (OpenAM) is an access management solution. Prior to 16.1.1, the OAuth2 authentication module updates an existing local account with profile attributes that can include userPassword and inetUserStatus, rewriting the password to the username and reactivating disabled accounts. The missing OAuth.removeRestrictedAccountUpdateAttributes filtering permits these credential and status fields to reach the account update. With account creation enabled, repeated OAuth login causes the default ldapService chain to accept the username as both identifier and password, allowing an unauthenticated attacker to take over the local account without interacting with the identity provider. The rewrite can be denied for usernames shorter than the configured minimum password length. This issue is fixed in version 16.1.1.