КритическаяCVSS10.02026-11-09
CVE-2026-123551 — WebSocket уведомлений OpenAM позволяет неаутентифицированному атакующему читать токены сеансов: разбор и исправление (CVSS 10.0, исправлено в 16.1.4)
Уязвимость в Open Identity Platform OpenAM с 14.0.0 до 16.1.4 (не включая), CVSS 10.0. Согласно бюллетеню, проверку аутентификации WebSocket уведомлений можно обойти, поэтому неаутентифицированный атакующий может собирать токены сеансов и перехватывать сеансы пользователей и администраторов. Исправлено в 16.1.4. Бюллетень не сообщает об эксплуатации, а по состоянию на 9 ноября уязвимости нет в CISA KEV. Мнение этого сайта: одного обновления недостаточно, после него нужно отозвать существующие сеансы.