PT-2026-30917 · Forgerock · Openam+1

Iamnoooob · Publicado 2026-04-07 · Atualizado 2026-05-27 · CVE-2026-33439

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas OpenAM versões anteriores a 16.0.6

Description Open Access Management (OpenAM) é uma solução de gerenciamento de acesso. Um invasor não autenticado pode alcançar a execução arbitrária de comandos no servidor por meio de desserialização Java insegura. Isso ocorre quando um objeto Java serializado manipulado é enviado como o parâmetro GET/POST jato.clientSession para qualquer endpoint JATO ViewBean cujo JSP contenha tags <jato:form>, como as páginas de Redefinição de Senha. Este problema ignora a mitigação WhitelistObjectInputStream aplicada anteriormente ao parâmetro jato.pageSession.

Recommendations Atualizar para a versão 16.0.6.

Correção

RCE

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2026-33439

GHSA-2CQQ-RPVQ-G5QJ

Produtos afetados

Openam

Openidentityplatform

Referências · 18

• https://github.com/OpenIdentityPlatform/OpenAM · Nota
• https://github.com/OpenIdentityPlatform/OpenAM/security/advisories/GHSA-2cqq-rpvq-g5qj · Aviso do Fabricante
• https://github.com/OpenIdentityPlatform/OpenAM/releases/tag/16.0.6 · Nota
• https://github.com/OpenIdentityPlatform/OpenAM/commit/014007c63cacc834cc795a89fac0e611aebc4a32 · Nota
• https://twitter.com/CCBalert/status/2042131518445728011 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2041742447332508135 · Publicação no Twitter
• https://twitter.com/q810034/status/2043194198929904106 · Publicação no Twitter
• https://twitter.com/lyrie_ai/status/2054427636647198878 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-33439 · Nota de Segurança
• https://twitter.com/CVEnew/status/2041711876435013893 · Publicação no Twitter
• https://twitter.com/0dayPublishing/status/2041624427666743722 · Publicação no Twitter
• https://twitter.com/pulsepatchio/status/2042073355642425601 · Publicação no Twitter
• https://twitter.com/HacktronAI/status/2041900833659613460 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-2cqq-rpvq-g5qj · Aviso do Fabricante
• https://twitter.com/pdnuclei_bot/status/2045094962556272856 · Publicação no Twitter