JVNDB-2026-009972

frentix GmbHのOpenOlatにおけるテンプレートエンジンで使用される特殊な要素の不適切な無効化に関する脆弱性

OpenOlatは、教育、学習、評価、およびコミュニケーションのためのオープンソースのウェブベースeラーニングプラットフォームです。バージョン19.1.31、20.1.18、および20.2.5以前のバージョンでは、認証済みのユーザーがAuthorロールを持っている場合、リマインダーのメールテンプレートにVelocityディレクティブを注入することが可能でした。リマインダーが処理される際（手動でトリガーされた場合または毎日のcronジョブを介して）、注入されたディレクティブはサーバー側で評価されます。Velocityの#setディレクティブとJavaのリフレクションを連鎖させることで、攻撃者はjava.lang.ProcessBuilderなどの任意のJavaクラスをインスタンス化し、Tomcatプロセスの権限（コンテナ化された環境では通常rootの権限）でオペレーティングシステムコマンドを実行することができました。この問題はバージョン19.1.31、20.1.18、および20.2.5で修正されました。

frentix GmbH

• OpenOlat 19.1.31 未満
• OpenOlat 20.0.0 以上 20.1.18 未満
• OpenOlat 20.2.0 以上 20.2.5 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Server-Side Template Injection (SSTI) in Velocity templates allows Remote Code Execution  Advisory  OpenOLAT/OpenOLAT  GitHub

1. テンプレートエンジンで使用される特殊な要素の不適切な無効化(CWE-1336) [その他]

1. CVE-2026-28228

1. National Vulnerability Database (NVD) : CVE-2026-28228

• [2026年04月06日]
    掲載