CVE-2026-31946 in OpenOlat
Riassunto
di VulDB • 22/06/2026
OpenOlat è una piattaforma e-learning open source basata sul web per l'insegnamento, l'apprendimento, la valutazione e la comunicazione. Dalla versione 10.5.4 fino alla versione precedente alla 20.2.5, l'implementazione del flusso implicito OpenID Connect di OpenOLAT non verifica le firme JWT. Il metodo JSONWebToken.parse() scarta silenziosamente il segmento della firma del JWT compatto (header.payload.signature), e i metodi getAccessToken() sia in OpenIdConnectApi che in OpenIdConnectFullConfigurableApi validano solo i campi a livello di claim (issuer, audience, state, nonce) senza alcuna verifica crittografica della firma rispetto all'endpoint JWKS dell'Identity Provider. Questo problema è stato risolto nella versione 20.2.5.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.