CVE-2021-29156: forgerock openam

csirt@kutim:~/threat-intel/cve/CVE-2021-29156

CVSS 7.5 · High EPSS 76,8%

Kerentanan Improper Neutralization of Special Elements in Output Used by a Downstream Component ('Injection') pada forgerock openam. Skor CVSS 3.1 7.5 (High) menurut NVD.

Deskripsi (NVD)

ForgeRock OpenAM before 13.5.1 allows LDAP injection via the Webfinger protocol. For example, an unauthenticated attacker can perform character-by-character retrieval of password hashes, or retrieve a session token or a private key.

Rincian

Terbit di NVD: 25 Maret 2021
Terakhir diubah: 17 Juni 2026
Status NVD: Modified
CVSS 3.1: 7.5 (High), sumber NVD
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N · uraikan di kalkulator
Jenis kelemahan (CWE): CWE-74: Improper Neutralization of Special Elements in Output Used by a Downstream Component ('Injection')
EPSS (30 hari): 76,8% peluang dieksploitasi; lebih tinggi dari 99,5% CVE lain

Produk dan versi terdampak

Vendor	Produk	Versi terdampak
forgerock	openam	Semua versi sebelum 13.5.1

> Data dari konfigurasi CPE di NVD.

Referensi dan perbaikan

https://bugster.forgerock.org/jira/browse/OPENAM-10135 exploit · patch · advisory vendor
https://portswigger.net/research/hidden-oauth-attack-vectors exploit · advisory pihak ketiga

Sumber: NVD · CVE.org · EPSS. Halaman ini disusun otomatis dari data tersebut; pembaruan terakhir 5 Okt 2026, 20:10 WITA. Kalau sistem di Perangkat Daerah memakai produk ini dan butuh bantuan, laporkan lewat kanal pelaporan.