危急CVSS10.02026-11-09
CVE-2026-123551 — OpenAM 通知 WebSocket 允許未認證攻擊者讀取工作階段權杖：解析與對策（CVSS 10.0，已在 16.1.4 修復）
Open Identity Platform 的 OpenAM 14.0.0 至 16.1.4 之前（不含 16.1.4）存在漏洞，CVSS 10.0。據公告，通知 WebSocket 的認證檢查可被繞過，未認證攻擊者能收集工作階段權杖並劫持使用者和管理員的工作階段。已在 16.1.4 修復。公告未提及遭到利用，截至11月9日也未收錄於 CISA KEV。本站的觀點：僅更新並不夠，更新後還必須撤銷現有工作階段。