Vulnerabilidades críticas na plataforma de gerenciamento de identidade OpenAM

man wearing black sweater using smartphone — Jonas Leupe / Unsplash

Foram reveladas múltiplas vulnerabilidades na plataforma de gerenciamento de identidade OpenAM. Algumas dessas vulnerabilidades foram classificadas como "críticas" e todas foram corrigidas na atualização de outubro.

No dia 22 de outubro de 2026, a Open Identity Platform anunciou 18 vulnerabilidades e lançou a versão corrigida "OpenAM 16.1.4". Após isso, foram atribuídos números CVE a essas vulnerabilidades.

Dentre as 18 vulnerabilidades, três foram avaliadas com a classificação mais alta, "crítica". A vulnerabilidade identificada como "CVE-2026-123551" permite que um invasor evite a verificação de autenticação ao se conectar via "WebSocket", resultando no vazamento do token de sessão do usuário.

Isso possibilita a tomada de controle das sessões dos usuários, incluindo administradores. A VulnCheck, que atribuiu o número CVE, avaliou a vulnerabilidade utilizando o sistema de avaliação de vulnerabilidades comum, "CVSS v4.0", com uma pontuação base máxima de "10.0".