CVE-2026-123551: disclosure di token in OpenAM

CVE-2026-123551 è una vulnerabilità di information disclosure in OpenAM che consente ad attaccanti non autenticati di leggere token di sessione live dal WebSocket di notifica. La falla colpisce le versioni da 14.0.0 fino a (ma non inclusa) 16.1.4 e può essere sfruttata per bypassare il controllo agent-only attraverso uno spagliamento interno non validato su endpoint legacy Liberty ID-FF. I token iPlanetDirectoryPro catturati possono essere utilizzati per hijackare sessioni di utenti normali e amministratori.

Il CVSS è 10,0, il massimo livello, e la vulnerabilità è classificata come critical. La descrizione ufficiale NVD conferma l'information disclosure e il rischio di session hijacking. La vulnerabilità è stata pubblicata su NVD il 2026-11-08. Sui social network si osserva attività nelle ultime 24 ore con menzione di questa e altre criticità in OpenAM.

Amministratori e team di sicurezza devono aggiornare immediatamente OpenAM alla versione 16.1.4 o successiva. È critico verificare se OpenAM è deployato in ambienti produttivi e se espone endpoint Liberty ID-FF. Durante la fase di aggiornamento, monitorare i log di autenticazione e richieste WebSocket per attività sospette. Revocare i token di sessione attivi se possibile è una misura di mitigazione aggiuntiva.