CVE-2026-28228 OpenOlat Velocity模板注入致RCE漏洞

OpenOlat开源e-learning平台在处理邮件模板时存在严重漏洞。拥有Author角色的低权限认证用户可在提醒邮件模板中注入Velocity指令。当系统触发提醒任务时，注入的恶意代码将在服务端被解析执行。攻击者可通过Java反射机制实例化ProcessBuilder类，从而以Tomcat进程权限执行任意系统命令，导致服务器被完全接管。

该漏洞属于服务器端模板注入（SSTI）。OpenOlat平台在处理提醒邮件模板时，直接将用户输入的内容传递给Velocity引擎解析，且未对敏感类和方法进行有效过滤。攻击者利用Author角色的编辑权限，构造包含Velocity指令（如#set）的恶意Payload。通过链式调用Java反射机制，攻击者可以访问并执行任意Java类，例如利用java.lang.Runtime.getRuntime().exec()方法。该流程在服务端触发（如通过每日定时任务或手动触发）时，恶意指令会被操作系统执行，从而实现从Web应用到服务器系统的完全控制。