CVE-2026-123551

🆕 New CVEs OpenAM: 3 critical CVEs Worst: session token disclosure in notification WebSocket (CVE-2026-123551) Patch → 16.1.4 https://cve.now/CVE-2026-123551?release=CVE-2026-123549,CVE-2026-123550&utm_source=x&utm_medium=social&utm_campaign=cvedotnow&utm_content=rollup

【11/8 昼】CVE・脆弱性ニュースまとめ ■国内 新たに対象となるものはありませんでした ■海外 ① OpenIdentityPlatform「OpenAM」：セッショントークンの漏えいやSAML認証のすり抜けなど重大な脆弱性3件、16.1.4で修正（CVE-2026-123551ほか、CVSS v3.1 最大10.0） アクセス管理ソフト「OpenAM」に、重大な脆弱性が3件まとめて11月8日に公表されました。通知用WebSocketから有効なセッショントークンをログインなしで読み取られ、利用者や管理者のセッションを乗っ取られる問題（CVE-2026-123551、CVSS v3.1 10.0）では、エージェント限定の確認を、旧来のLiberty ID-FFの内部転送で回避できるとされています。ほかに、署名のないSAMLアサーションを受け入れて任意の利用者としてログインされてしまう問題（CVE-2026-123550、CVSS v3.1 9.8、WantAssertionsSignedが無効な場合）と、自己登録で設定できる属性のリスト（Valid Creation Attributes）が強制されず、匿名の攻撃者がリスト外の属性を設定できてしまう問題（CVE-2026-123549、CVSS v3.1 9.8）があります。対象は、セッショントークンの問題が14.0.0から16.1.4未満、その他は16.1.4未満で、修正版は16.1.4です。現時点で実際の悪用の報告は確認できていませんが、シングルサインオンの基盤に使っている環境は更新を急いでください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-123551 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-123550 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-123549 出典：StackFlag https://stackflag.com/vulnerabilities/cve-2026-123551-openam 出典：StackFlag https://stackflag.com/vulnerabilities/cve-2026-123550-openam ② imgproxy「imgproxy」：ICO読み込み処理の整数オーバーフローでヒープを壊され、コードを実行されうる脆弱性、4.0.16で修正（CVE-2026-123614、CVSS v3.1 9.8） 画像処理プロキシ「imgproxy」のICO読み込み処理に整数オーバーフローがあり、CVEとして11月8日に公表されました。ICOファイルが示すデータサイズにヘッダー分の長さを足す計算があふれて確保する領域が極端に小さくなり、その後の読み込みでヒープバッファオーバーフローを引き起こし、細工した画像を処理させることでプロセスを異常終了させられたり、コードを実行されたりするおそれがあります。発見者の検証ではヒープの破壊と遠隔からのサービス拒否が確認されており、公式アドバイザリはコード実行の可能性も挙げています。対象は4.0.0から4.0.15までで、修正版は4.0.16です。現時点で実際の悪用の報告は確認できていませんが、外部の画像を処理させている環境は更新を行ってください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-123614 出典：imgproxy https://github.com/imgproxy/imgproxy/security/advisories/GHSA-hff9-5pqw-6w9f ■注意点 ・OpenAM（CVE-2026-123551ほか）は、CVSS 10.0のセッショントークン漏えいを含む3件が同時に公表されました。16.1.4への更新とあわせて、SAMLで署名付きアサーションを必須にする設定になっているかも確認してください。 ・imgproxy（CVE-2026-123614）は、細工したICO画像を処理させるだけでヒープを壊される問題です。4.0.16への更新を行ってください。 #脆弱性 #CVE #サイバーセキュリティ

🚨Critical - OpenAM Session Token Leak via Liberty ID-FF Forward to Notifications WebSocket (CVE-2026-123551) OpenAM’s notifications WebSocket leaks live iPlanetDirectoryPro session tokens to unauthenticated clients when an agent-only check is bypassed via an unvalidated internal forward from legacy Liberty ID-FF endpoints. Attackers can harvest tokens and hijack user/admin sessions. Non-Liberty ID-FF deployments aren’t impacted. 👉Affected: OpenAM 14.0.0 < 16.1.4 | Upgrade to 16.1.4

NewNormal Security turns CVEs since the previous batch into new detections, every day. 𝗗𝗮𝗶𝗹𝘆 𝗖𝗩𝗘 𝗥𝗲𝗽𝗼𝗿𝘁 — 8 Nov 2026 𝗔𝗱𝗱𝗲𝗱 to NewScan 𝘁𝗼𝗱𝗮𝘆: 📦 Unpatched single sign-on server — anonymous session-token theft, unsigned SAML assertions accepted (Open Identity Platform OpenAM CVE-2026-123551, CVE-2026-123550, CVE-2026-123538, CVE-2026-123553, CVE-2026-123543, CVE-2026-123542, CVE-2026-123545, CVE-2026-123552, CVE-2026-123537, CVE-2026-123536, CVE-2026-123541, CVE-2026-123546, CVE-2026-123547, CVE-2026-123548, CVE-2026-123539, CVE-2026-123540, CVE-2026-123544) 📦 Outdated WordPress booking plugin — anonymous password reset, account takeover (LatePoint CVE-2026-118066) 📦 Outdated Python web framework, now matched from its Server banner — static-file path traversal (Tornado CVE-2026-123534, CVE-2026-123535) Test your stack with NewScan — free, self-hosted: https://newnormalsecurity.com/newscan?utm_source=x&utm_medium=social&utm_campaign=daily-cve #infosec #AppSec #SAML #CSO #REDTEAM

OpenAM の通知用 WebSocket からセッショントークンが漏れる脆弱性 CVE-2026-123551（CVSS 10.0）をまとめました。修正は 16.1.4 です。OpenAM を使っている環境は版数の確認を。 https://cve.autoarticles.net/cve/CVE-2026-123551

🆕 New CVE: CVE-2026-123551 (CVSS 10.0, Enclave score 6/10) OpenIdentityPlatform OpenAM · Information disclosure Remote, no login needed. OpenAM from 14.0.0 before 16.1.4 contains an information disclosure vulnerability that allows unauthenticated… https://app.enclave.ai/threat-feed/CVE-2026-123551