CVE-2026-45049

CVSS 8.3 HIGH

OpenAM Session Hijacking via CDSSO

Công bố: 2026-10-30
Cập nhật: 2026-10-30
Lần đầu thấy: 2026-10-31
Nguồn: NVD, CVE.org

Mô tả

Open Access Management (OpenAM) is an access management solution. Prior to 16.1.1, the Cross-Domain Single Sign-On (CDSSO) servlet allows a logged-in user's raw OpenAM session token to be POSTed to an attacker-controlled URL. An attacker who induces an authenticated victim to visit a crafted URL can receive the session credential and potentially hijack the session. Deployments must have CDSSO enabled, as is common in multi-domain deployments, and exploitation is additionally gated on a non-default configuration being absent. This issue is fixed in version 16.1.1.

Điểm và phân loại

CVSS: 8.3 HIGH v3.1
Nguồn điểm: NVD
Mức độ (theo nguồn): HIGH
EPSS: —
CWE: CWE-201

Vector CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H

Ảnh hưởng

Sản phẩm

OpenIdentityPlatform OpenAM

Vì sao được giữ

CVSS 8.3 >= 8.0

Loại tác động

Không nhận ra loại tác động nào từ CWE, vector hay mô tả.

Dữ liệu riêng của nguồn

CVE.org · Đơn vị cấp mã: GitHub_M