CríticoCVSS10.02026-11-09
CVE-2026-123551 — o WebSocket de notificações do OpenAM permite que um invasor não autenticado leia tokens de sessão: explicação e correção (CVSS 10.0, corrigido na 16.1.4)
Falha no OpenAM da Open Identity Platform, da 14.0.0 até a 16.1.4 (sem incluí-la), CVSS 10.0. Segundo o aviso, a verificação de autenticação do WebSocket de notificações pode ser contornada, de modo que um invasor não autenticado consegue coletar tokens de sessão e sequestrar sessões de usuários e administradores. Corrigido na 16.1.4. O aviso não informa exploração e a falha não está no CISA KEV em 9 de novembro. A visão deste site: atualizar não basta; é preciso revogar as sessões existentes depois de atualizar.