严重CVSS10.02026-11-09
CVE-2026-123551 — OpenAM 通知 WebSocket 允许未认证攻击者读取会话令牌：解析与对策（CVSS 10.0，已在 16.1.4 修复）
Open Identity Platform 的 OpenAM 14.0.0 至 16.1.4 之前（不含 16.1.4）存在漏洞，CVSS 10.0。据公告，通知 WebSocket 的认证检查可被绕过，未认证攻击者能收集会话令牌并劫持用户和管理员的会话。已在 16.1.4 修复。公告未提及遭到利用，截至11月9日也未收录于 CISA KEV。本站的观点：仅更新并不够，更新后还必须撤销现有会话。