CVSS: 8.1EPSS: 0%CPEs: 3EXPL: 0CVE-2017-10873
https://notcve.org/view.php?id=CVE-2017-10873
OpenAM (Open Source Edition) allows an attacker to bypass authentication and access unauthorized contents via unspecified vectors. Note that this vulnerability affects OpenAM (Open Source Edition) implementations configured as SAML 2.0IdP, and switches authentication methods based on AuthnContext requests sent from the service provider. OpernAM (Open Source Edition) permite que un atacante omita la autenticación y acceda a contenidos no autorizados mediante vectores no especificados. Nótese que esta vulnerabilidad afecta a las implementaciones de OpenAM (Open Source Edition) configuradas como SAML 2.0ldP y cambia los métodos de autenticación en base a las peticiones AuthnContext enviadas desde el proveedor del servicio. • https://jvn.jp/en/jp/JVN79546124 https://www.cs.themistruct.com https://www.osstech.co.jp/support/am2017-2-1-en • CWE-287: Improper Authentication •
CVSS: 3.5EPSS: 2%CPEs: 10EXPL: 0CVE-2014-7246
https://notcve.org/view.php?id=CVE-2014-7246
The Core Server in OpenAM 9.5.3 through 9.5.5, 10.0.0 through 10.0.2, 10.1.0-Xpress, and 11.0.0 through 11.0.2, when deployed on a multi-server network, allows remote authenticated users to cause a denial of service (infinite loop) via a crafted cookie in a request. El Core Server en OpenAM 9.5.3 hasta 9.5.5, 10.0.0 hasta 10.0.2, 10.1.0-Xpress, y 11.0.0 hasta 11.0.2, cuando se implementa en una red multi-servidor, permite a los usuarios remotos autenticados causar una denegación de servicio (bucle infinito) a través de una petición con una cookie manipulada. • http://jvn.jp/en/jp/JVN65559247/index.html http://jvndb.jvn.jp/jvndb/JVNDB-2014-000129 http://sources.forgerock.org/changelog/openam/?cs=11248 https://forgerock.org/2014/11/openam-security-advisory-201404 • CWE-20: Improper Input Validation •