CVE-2026-31946
Açıklama
OpenOlat; öğretim, öğrenme, değerlendirme ve iletişim için geliştirilmiş açık kaynaklı, web tabanlı bir e-öğrenme platformudur. Versiyon 10.5.4 ile versiyon 20.2.5 öncesi arasındaki sürümlerde, OpenOLAT'ın OpenID Connect örtük akış (implicit flow) uygulaması JWT imzalarını doğrulamamaktadır. JSONWebToken.parse() yöntemi, kompakt JWT'nin (header.payload.signature) imza bölümünü sessizce göz ardı etmekte; hem OpenIdConnectApi hem de OpenIdConnectFullConfigurableApi içerisindeki getAccessToken() yöntemleri ise Kimlik Sağlayıcının JWKS uç noktasına karşı herhangi bir kriptografik imza doğrulaması yapmaksızın yalnızca talep düzeyindeki alanları (issuer, audience, state, nonce) doğrulamaktadır. Bu sorun versiyon 20.2.5 ile düzeltilmiştir.
Nasıl düzeltilir
- frentix openolat20.2.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| frentix openolat | 10.5.4 ≤ v < 20.2.5 | 20.2.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.