위험CVSS10.02026-11-09
CVE-2026-123551 — OpenAM 알림 WebSocket으로 인증 없는 공격자가 세션 토큰을 읽을 수 있는 취약점: 해설과 대책(CVSS 10.0, 16.1.4에서 수정)
Open Identity Platform OpenAM 14.0.0 이상 16.1.4 미만의 결함으로 CVSS 10.0입니다. 권고에 따르면 알림 WebSocket의 인증 확인을 우회할 수 있어, 인증 없는 공격자가 세션 토큰을 수집해 사용자와 관리자의 세션을 가로챌 수 있습니다. 16.1.4에서 수정되었습니다. 권고는 악용 사례를 보고하지 않았으며 11월 9일 기준 CISA KEV에도 등재되어 있지 않습니다. 본 사이트의 견해: 업데이트만으로는 부족하며, 업데이트 후 기존 세션을 폐기해야 합니다.