重大CVSS10.02026-11-09
CVE-2026-123551 — OpenAMの通知用WebSocketから、未認証でセッショントークンを読み取られる脆弱性の解説と対応策（CVSS 10.0・16.1.4で修正）
Open Identity PlatformのOpenAM 14.0.0以上16.1.4未満の脆弱性（CVSS 10.0）。勧告によると、通知用WebSocketの認証確認を回避でき、未認証の攻撃者がセッションのトークンを受け取り、一般利用者・管理者のセッションを乗っ取れる。修正版は16.1.4。勧告に悪用の報告はなく、CISAのKEVにも未掲載（11月9日時点）。当サイトの結論：更新だけでは足りず、更新後に既存のセッションを失効させる必要がある。