CVE-2026-31946 in OpenOlat
الملخص
بحسب VulDB • 28/06/2026
OpenOlat هو منصة تعليم إلكتروني مفتوحة المصدر تعتمد على الويب للتدريس والتعلم والتقييم والاتصال. من الإصدار 10.5.4 وحتى قبل الإصدار 20.2.5، لا تقوم عملية تنفيذ تدفق الضمني (implicit flow) لبروتوكول OpenID Connect في OpenOLAT بالتحقق من توقيعات JWT. تتجاهل طريقة `JSONWebToken.parse()` جزء التوقيع بصمت ضمن رمز JWT المدمج (header.payload.signature)، وتقتصر طرق `getAccessToken()` الموجودة في كلٍ من `OpenIdConnectApi` و`OpenIdConnectFullConfigurableApi` على التحقق فقط من حقول المطالبات claim-level fields (الصادر issuer، الجمهور audience، الحالة state، nonce) دون أي تحقق تشفيري للتوقيع مقابل نقطة نهاية JWKS الخاصة بموفر الهوية. تم إصلاح هذه المشكلة في الإصدار 20.2.5.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.