Identitäts- und Zugriffsmanagement (IAM)
Schwachstellen bei Ping Identity: jede Meldung, die die Register seinen Produkten zuordnen
Kurz gesagt
24 Schwachstellenmeldungen in diesem Bestand sind Produkten von Ping Identity zugeordnet. Sie reichen von September 2022 bis Juni 2026. Keine davon steht im CISA-Katalog bekannt ausgenutzter Schwachstellen. Weitere 3 Registereinträge nennen Ping Identity, ohne eines seiner Produkte als betroffen zu benennen, und bleiben deshalb außen vor, statt mitgezählt zu werden. Jeder Eintrag unten verlinkt auf das Register, das ihn veröffentlicht hat.
Zugeordnet
24
an ein benanntes Produkt gebunden
Aktiv ausgenutzt
0
im CISA-Katalog geführt
Als kritisch eingestuft
1
Einstufung des Registers
Zuletzt geprüft
27. Juli 2026
Quellen neu abgefragt
Warum diese Liste kürzer ist als ein CVE-Spiegel
Die Register werden über Stichworte durchsucht, also liefert die Suche nach einem Firmennamen auch Meldungen zurück, die diesen Namen nur erwähnen. Ein Spiegel veröffentlicht sie mit. Diese Seite nicht: Ein Eintrag erscheint erst, wenn das Register selbst ihn an ein Produkt von Ping Identity bindet, über einen Verweis auf eine Adresse des Anbieters, über Ping Identity als die Stelle, die die CVE-Nummer vergeben hat, oder über die Liste der betroffenen Produkte.
3 Einträge haben diese Hürde nicht genommen und werden nicht angezeigt. Das ist der Unterschied, und er ist gewollt: Eine Seite, die die Schwachstelle eines anderen Unternehmens unter dieser Überschrift führt, ist auf die Art falsch, die am meisten kostet.
23 der 24 Einträge tragen einen CVSS-Basiswert aus dem Register. Wo keiner veröffentlicht ist, steht keiner, und geschätzt wird nichts.
Die vollständige Liste, bekannt ausgenutzte und neueste zuerst
Führen mehrere Register dieselbe Meldung, steht sie einmal da, mit einem Link auf jedes. So wird dieselbe Schwachstelle nicht doppelt gezählt. Einträge aus dem CISA-Katalog bekannt ausgenutzter Schwachstellen stehen oben, weil das der eine Hinweis auf dieser Seite ist, der ändert, was als Nächstes zu tun ist.
- CVE-2026-20746mediumCVSS 6.312. Juni 2026
Virtual attribute handling in Ping Identity PingDirectory in affected versions allows only authorized users to exhaust java memory heap when recent login history is enabled and copying…
- CVE-2025-20628mediumCVSS 6.907. Apr. 2026
An insufficient granularity of access control vulnerability exists in PingIDM (formerly ForgeRock Identity Management) where administrators cannot properly configure access rules for Remote…
- CVE-2025-27935highCVSS 8.604. Dez. 2025
The OTP Integration Kit for PingFederate fails to enforce HTTP method validation and state validation properly.
- CVE-2025-2686227. Okt. 2025
Unexpected authentication form rendering in HTML Form Adapter using only non-default redirectless mode in PingFederate allows authentication attempts which may enable brute force login…
- CVE-2024-25573mediumCVSS 6.915. Juni 2025
Unsanitized user-supplied data saved in the PingFederate Administrative Console could trigger the execution of JavaScript code in subsequent user processing.
- CVE-2025-22854mediumCVSS 6.915. Juni 2025
Improper handling of non-200 http responses in the PingFederate Google Adapter leads to thread exhaustion under normal usage conditions.
- CVE-2025-21085lowCVSS 2.115. Juni 2025
PingFederate OAuth2 grant duplication in PostgreSQL persistent storage allows OAuth2 requests to use excessive memory utilization.
- CVE-2025-20059criticalCVSS 9.220. Feb. 2025
Relative Path Traversal vulnerability in Ping Identity PingAM Java Policy Agent allows Parameter Injection.This issue affects PingAM Java Policy Agent: through 5.10.3, through 2023.11.1…
- CVE-2024-23983mediumCVSS 5.811. Nov. 2024
Improper handling of canonical URL-encoding may lead to bypass not properly constrained by request rules.
- CVE-2024-25566mediumCVSS 5.129. Okt. 2024
An Open-Redirect vulnerability exists in PingAM where well-crafted requests may cause improper validation of redirect URLs.
- CVE-2024-23600lowCVSS 2.701. Aug. 2024
Improper Input Validation of query search results for private field data in PingIDM (Query Filter module) allows for a potentially efficient brute forcing approach leading to information…
- CVE-2023-40148mediumCVSS 6.510. Apr. 2024
Server-side request forgery (SSRF) in PingFederate allows unauthenticated http requests to attack network resources and consume server-side resources via forged HTTP POST requests.
- CVE-2023-40545highCVSS 8.806. Feb. 2024
Authentication bypass when an OAuth2 Client is using client_secret_jwt as its authentication method on affected 11.3 versions via specially crafted requests.
- CVE-2023-36496highCVSS 7.701. Feb. 2024
Delegated Admin Privilege virtual attribute provider plugin, when enabled, allows an authenticated user to elevate their permissions in the Directory Server.
- CVE-2023-34085lowCVSS 2.625. Okt. 2023
When an AWS DynamoDB table is used for user attribute storage, it is possible to retrieve the attributes of another user using a maliciously crafted request
- CVE-2023-39219highCVSS 7.525. Okt. 2023
PingFederate Administrative Console dependency contains a weakness where console becomes unresponsive with crafted Java class loading enumeration requests
- CVE-2023-39930highCVSS 7.524. Okt. 2023
A first-factor authentication bypass vulnerability exists in the PingFederate with PingID Radius PCV when a MSCHAP authentication request is sent via a maliciously crafted RADIUS client…
- CVE-2023-39231highCVSS 7.324. Okt. 2023
PingFederate using the PingOne MFA adapter allows a new MFA device to be paired without requiring second factor authentication from an existing registered device.
- CVE-2022-40724mediumCVSS 6.425. Apr. 2023
The PingFederate Local Identity Profiles '/pf/idprofile.ping' endpoint is vulnerable to Cross-Site Request Forgery (CSRF) through crafted GET requests.
- CVE-2022-40725highCVSS 7.325. Apr. 2023
PingID Desktop prior to the latest released version 1.7.4 contains a vulnerability that can be exploited to bypass the maximum PIN attempts permitted before the time-based lockout is…
- CVE-2022-40722highCVSS 7.725. Apr. 2023
A misconfiguration of RSA padding implemented in the PingID Adapter for PingFederate to support Offline MFA with PingID mobile authenticators is vulnerable to pre-computed dictionary…
- CVE-2022-23721lowCVSS 3.825. Apr. 2023
PingID integration for Windows login prior to 2.9 does not handle duplicate usernames, which can lead to a username collision when two people with the same username are provisioned onto the…
- CVE-2022-40723mediumCVSS 6.525. Apr. 2023
The PingID RADIUS PCV adapter for PingFederate, which supports RADIUS authentication with PingID MFA, is vulnerable to MFA bypass under certain configurations.
- CVE-2022-23726mediumCVSS 5.430. Sept. 2022
PingCentral versions prior to listed versions expose Spring Boot actuator endpoints that with administrative authentication return large amounts of sensitive environmental and application…
Welche Register beigetragen haben
| Register | Betreiber | Einträge | Neuester Eintrag |
|---|---|---|---|
| European Vulnerability Database | ENISA, Europäische Union | 26 | 12. Juni 2026 |
| National Vulnerability Database | NIST, US-Handelsministerium | 2 | 12. Juni 2026 |
| CERT-Bund Sicherheitshinweise | BSI, Bundesrepublik Deutschland | 1 | 27. März 2023 |
Die Zahlen hier sind die rohen Registertreffer zu Ping Identity, vor der Zuordnung. Genau deshalb sind sie größer als die Liste darüber.
Fragen, die diese Seite beantwortet
Wie viele Schwachstellen hat Ping Identity?
24 Meldungen in diesem Bestand sind von einem Register einem Produkt von Ping Identity zugeordnet. Das ist nicht dasselbe wie die Zahl der Schwachstellen in den Produkten, und die kennt keine öffentliche Quelle. Es ist die Zahl dessen, was gefunden, offengelegt und veröffentlicht wurde, und die hängt daran, wie intensiv die Produkte geprüft werden und wie offen der Anbieter damit umgeht.
Werden Schwachstellen in Produkten von Ping Identity aktiv ausgenutzt?
Keiner der 24 Einträge steht im CISA-Katalog bekannt ausgenutzter Schwachstellen. Dieser Katalog ist nicht vollständig: Er führt, was CISA als ausgenutzt bestätigt hat. Dass ein Eintrag fehlt, ist deshalb kein Beleg dafür, dass nichts ausgenutzt wurde.
Warum zeigt diese Seite weniger CVEs zu Ping Identity als andere Seiten?
Weil eine Stichwortsuche nach einem Firmennamen auch Meldungen über Produkte anderer Unternehmen zurückgibt, die den Namen nur nebenbei erwähnen. Diese Seite lässt sie weg. 3 Registereinträge nennen Ping Identity, ohne eines seiner Produkte als betroffen zu benennen. Ein Spiegel, der sie mitführt, erzeugt eine längere Seite und eine falsche Zahl.
Woher stammen die Meldungen zu Ping Identity auf dieser Seite?
Aus diesen Registern: European Vulnerability Database, betrieben von ENISA, Europäische Union; National Vulnerability Database, betrieben von NIST, US-Handelsministerium; CERT-Bund Sicherheitshinweise, betrieben von BSI, Bundesrepublik Deutschland. Jeder Eintrag verlinkt zurück auf das Register, das ihn veröffentlicht hat, und trägt das Datum, das dieses Register nennt. Führen mehrere Register dieselbe Schwachstelle, steht sie einmal da, mit einem Link auf jedes, statt doppelt gezählt zu werden.
Heißt eine lange Liste, dass Ping Identity unsicher ist?
Nein. Ein Register hält fest, was Forschende gefunden und was der Anbieter offengelegt hat. Ein weit verbreitetes Produkt mit einem funktionierenden Offenlegungsprozess sammelt deshalb mehr Einträge als eines, das niemand prüft. Eine kurze Liste kann genauso gut für eine kleine Installationsbasis stehen oder für einen Anbieter, der wenig veröffentlicht. Diese Seite gibt den Bestand wieder und bewertet den Anbieter nicht, denn ob das für Sie tragbar ist, hängt an Ihrer Risikobereitschaft, Ihrem Compliance-Umfang und den Alternativen, die Sie abwägen.
Eine Liste von Meldungen ist noch keine Risikobewertung
Es zählt, welche davon die Komponenten betreffen, die Sie tatsächlich betreiben, in der Konfiguration, in der Sie sie betreiben, und ob das neben den Alternativen Ihrer engeren Auswahl tragbar ist. DecisionOS liest denselben Bestand an den Kriterien einer konkreten Entscheidung und liefert ein Memo, das vor Geschäftsführung und Revision standhält.
Der vollständige Bestand zu Ping Identity, samt Quellen und offenen Fragen