Summary
Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in OpenBao ausnutzen, um Sicherheitsvorkehrungen zu umgehen oder einen Cross Site Scripting Angriff durchzuführen.
Product
OpenBao ist eine Open-Source-Lösung für Secrets Management, die sensible Daten wie Passwörter, API-Schlüssel und Zertifikate sicher speichert und verwaltet.
Vulnerabilities 2
-
Critical 9.6
OpenBao lacks user confirmation for OIDC direct callback mode
OpenBao is an open source identity-based secrets management system. Prior to version 2.5.2, OpenBao does not prompt for user confirmation when logging in via JWT/OIDC and a role with `callback_mode` set to `direct`. This allows an attacker to start an authent…
-
Critical 9.4
OpenBao has Reflected XSS in its OIDC authentication error message
OpenBao is an open source identity-based secrets management system. Prior to version 2.5.2, OpenBao installations that have an OIDC/JWT authentication method enabled and a role with `callback_mode=direct` configured are vulnerable to XSS via the `error_descri…
Revision history
-
#3
Neue Updates von openSUSE aufgenommen
-
#2
Referenz(en) aufgenommen: EUVD-2026-16624, EUVD-2026-16626
-
#1
Initiale Fassung
References
-
OpenBao GitHub vom 2026-03-25
https://github.com/openbao/openbao/security/advisories/GHSA-cpj3-3r2f-xj59
-
OpenBao GitHub vom 2026-03-25
https://github.com/openbao/openbao/security/advisories/GHSA-7q7g-x6vg-xpc3
-
openSUSE Security Update OPENSUSE-SU-2026:10438-1 vom 2026-03-30
https://lists.opensuse.org/archives/list/security-announce@lists.opensuse.org/thread/YG3L3Q24QZIZUO5BQJWWHF3VCOC2T5JE/