CVE-2026-31946：OpenOLAT 10.5.4-20.2.5 身份验证绕过

OpenOLAT的CVE-2026-31946漏洞允许攻击者通过JWT令牌操作来破坏OpenOLAT（一个开源的基于Web的电子学习平台）的安全性。具体来说，10.5.4到20.2.5之前的OpenOLAT版本中OpenID Connect的隐式流程实现没有验证JWT签名。这意味着攻击者可以创建看似合法的恶意JWT令牌，因为JSONWebToken.parse()方法会静默地忽略紧凑JWT的签名段（header.payload.signature）。缺少签名验证使得插入虚假声明成为可能，这可能导致用户身份冒充、未经授权访问敏感数据，甚至在服务器上执行任意代码，具体取决于如何使用这些被操纵的声明。这种影响在学生和教师的数据安全至关重要的环境中尤其严重。

Educational institutions and organizations using OpenOLAT for online learning are at significant risk. Specifically, those relying on OpenID Connect for authentication and using versions between 10.5.4 and 20.2.4 are particularly vulnerable. Shared hosting environments where OpenOLAT instances are deployed alongside other applications could also be affected if proper isolation is not in place.

• linux / server: Monitor OpenOLAT logs for JWT requests lacking a signature or with invalid claims. Use journalctl -u openolat to filter for relevant log entries.

journalctl -u openolat | grep -i "JWT signature" -i "invalid claim"

• generic web: Use curl to test OpenID Connect endpoints with crafted JWTs lacking signatures to see if they are accepted.

curl -H "Authorization: Bearer <malformed_jwt>" <openid_connect_endpoint>

• database (mysql): If OpenOLAT stores JWTs in the database (check configuration), query the relevant tables for JWTs without a signature field or with suspicious claim values. (Specific query depends on OpenOLAT's database schema).

1. 2026-03-30Disclosure

   disclosure

1. 已保留2026-03-10
2. 发布日期2026-03-30
3. 修改日期2026-03-31
4. EPSS 更新日期2026-04-07

CVE-2026-31946的主要缓解措施是将OpenOLAT升级到20.2.5或更高版本。此版本包含一个修复程序，可以正确验证JWT签名，从而防止令牌操作。同时，作为临时措施，建议限制从不受信任的网络访问平台，并监控审计日志以查找可疑活动。此外，重要的是审查OpenID Connect配置，以确保使用必要的声明进行授权，并实施强大的安全策略来保护敏感数据。还建议进行定期的渗透测试，以识别和修复潜在的漏洞。