OpenAM before 16.1.4 Open Redirect and XSS via goto and gotoOnFail

Özet

Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.

OpenAM before 16.1.4 contains an open redirect and cross-site scripting vulnerability that allows remote attackers to control post-login and logout destinations via the goto and gotoOnFail parameters. Attackers can craft OpenAM login or logout links that redirect victims to phishing sites or run script in the XUI to steal session cookies.

Etkilenen sürümler1 yazılım

Kaynaklar4 kaynak

• CVE.org kaydı
• NVD kaydı
• github.com/…OpenAM/security/advisories/GHSA-2gwf-vxp5-f9v2 Üretici bülteni
• vulncheck.com/…-open-redirect-and-xss-via-goto-and-gotoonfail Üçüncü taraf

Kayıt geçmişi

1. 8 Kas 2026 04:37Yayımlandı

İlgili açıklar

• 6,5 CVE-2026-123553OpenAM before 16.1.4 Default Credentials in Built-in Accounts Allow Unauthenticated Login
• 6,5 CVE-2026-123552OpenAM before 16.1.4 SSRF and CRL Tampering via Certificate CRL Distribution Point
• 10,0 CVE-2026-123551OpenAM'de bildirim WebSocket'i üzerinden oturum belirteçlerinin ifşası
• 9,8 CVE-2026-123550OpenAM SAML servis sağlayıcısında imzasız onaylamalarla kimlik doğrulama atlatma açığı
• 9,8 CVE-2026-123549OpenAM'de öz kayıt sırasında nitelik denetimi atlanması nedeniyle yetki yükseltme
• 4,7 CVE-2026-123548OpenAM before 16.1.4 Open Redirect via WS-Federation and SAML v2.0 Pages