CVSS: 8.1EPSS: 0%CPEs: 3EXPL: 0CVE-2017-10873
https://notcve.org/view.php?id=CVE-2017-10873
OpenAM (Open Source Edition) allows an attacker to bypass authentication and access unauthorized contents via unspecified vectors. Note that this vulnerability affects OpenAM (Open Source Edition) implementations configured as SAML 2.0IdP, and switches authentication methods based on AuthnContext requests sent from the service provider. OpernAM (Open Source Edition) permite que un atacante omita la autenticación y acceda a contenidos no autorizados mediante vectores no especificados. Nótese que esta vulnerabilidad afecta a las implementaciones de OpenAM (Open Source Edition) configuradas como SAML 2.0ldP y cambia los métodos de autenticación en base a las peticiones AuthnContext enviadas desde el proveedor del servicio. • https://jvn.jp/en/jp/JVN79546124 https://www.cs.themistruct.com https://www.osstech.co.jp/support/am2017-2-1-en • CWE-287: Improper Authentication •
CVSS: 7.5EPSS: 0%CPEs: 1EXPL: 0CVE-2016-10097
https://notcve.org/view.php?id=CVE-2016-10097
XML External Entity (XXE) Vulnerability in /SSOPOST/metaAlias/%realm%/idpv2 in OpenAM - Access Management 10.1.0 allows remote attackers to read arbitrary files via the SAMLRequest parameter. Vulnerabilidad de XSS en /SSOPOST/metaAlias/%realm%/idpv2 en OpenAM - Access Management 10.1.0 permite a atacantes remotos leer archivos arbitrarios a través del parámetro SAMLRequest. • http://www.cloudscan.me/2016/03/xxe-dork-open-am-1010-xml-injection.html http://www.securityfocus.com/bid/95174 https://twitter.com/h02332/status/816252923688665088 • CWE-611: Improper Restriction of XML External Entity Reference •
CVSS: 3.5EPSS: 2%CPEs: 10EXPL: 0CVE-2014-7246
https://notcve.org/view.php?id=CVE-2014-7246
The Core Server in OpenAM 9.5.3 through 9.5.5, 10.0.0 through 10.0.2, 10.1.0-Xpress, and 11.0.0 through 11.0.2, when deployed on a multi-server network, allows remote authenticated users to cause a denial of service (infinite loop) via a crafted cookie in a request. El Core Server en OpenAM 9.5.3 hasta 9.5.5, 10.0.0 hasta 10.0.2, 10.1.0-Xpress, y 11.0.0 hasta 11.0.2, cuando se implementa en una red multi-servidor, permite a los usuarios remotos autenticados causar una denegación de servicio (bucle infinito) a través de una petición con una cookie manipulada. • http://jvn.jp/en/jp/JVN65559247/index.html http://jvndb.jvn.jp/jvndb/JVNDB-2014-000129 http://sources.forgerock.org/changelog/openam/?cs=11248 https://forgerock.org/2014/11/openam-security-advisory-201404 • CWE-20: Improper Input Validation •