注目★★★★★GitHub Advisory
OpenAM の OAuth2/OIDC に認証前 Reflected XSS、form_post の state パラメータ経由
30秒で把握
- 1OpenAM に認証前 Reflected XSS (CVE-2026-44203) が確認された
- 2form_post モードで state パラメータが未サニタイズのまま HTML に出力される
- 3form_post を利用するエンドポイントを確認しパッチ適用を検討
要約
OpenAM の OAuth 2.0 / OIDC 認可エンドポイントに、認証前から悪用可能な Reflected XSS 脆弱性 (CVE-2026-44203) が確認された。form_post レスポンスモード使用時に state パラメータが HTML レスポンスに無害化されないまま埋め込まれる。攻撃者は OpenAM オリジンのコンテキストでレンダリングされるページに任意のコンテンツを注入できる。
あなたへの影響
OpenAM を認証基盤として運用しているチームは、form_post レスポンスモードを利用しているエンドポイントを確認し、パッチ適用または回避策の実施を検討すること。
推奨：認証不要で悪用できる経路のため、外部公開エンドポイントでは影響範囲を優先的に精査すべき。