CVE-2026-105120
Beschrijving NL
OpenAM vóór 16.1.3 bevat een kwetsbaarheid voor het omzeilen van autorisaties in de REST-eindpuntquerybewerking van de sessies waarmee realm-beheerders sessies van elk domein kunnen weergeven. Aanvallers met gedelegeerde RealmAdmin-privileges kunnen een _queryFilter een ander rijk geven om gebruikersnamen, universele ID's en sessiehandvatten over de grenzen van de tenant te onthullen.
Origineel (Engels) tonen
OpenAM before 16.1.3 contains an authorization bypass vulnerability in the sessions REST endpoint query operation that allows realm administrators to list sessions of every realm. Attackers holding delegated RealmAdmin privileges can supply a _queryFilter naming another realm to disclose usernames, universal IDs, and session handles across tenant boundaries.