One Identity · One Identity Password Manager · CVE-2020-7962
**Nome do software vulnerável e versões afetadas**
One Identity Password Manager versão 5.8
**Descrição**
Foi detectada uma falha no One Identity Password Manager que permite que um invasor identifique respostas válidas para um usuário. Isso é possível porque o conteúdo da resposta HTTP retorna “WRONG ID” apenas quando a resposta está incorreta, permitindo que um invasor detecte uma resposta válida e a reutilize posteriormente para redefinir a senha com uma senha de sua escolha.
**Recomendações**
Para o One Identity Password Manager versão 5.8, considere restringir o acesso à funcionalidade de redefinição de senha até que um patch esteja disponível. Como solução alternativa temporária, modifique o conteúdo da resposta HTTP para não revelar se a resposta está correta ou não, impedindo que invasores enumerem respostas válidas. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.