CVE-2026-96446
Təsvir
Keycloak-un Pushed Authorization Request (PAR) tətbiqində çatışmazlıq aşkar edilmişdir. Problem, istifadəçi artıq daxil olduqda avtorizasiya prosesinin müəyyən mərhələlərini ötürməyə imkan verən səssiz autentifikasiya yolu olan `prompt=none` istifadə edildikdə baş verir. Bu yan keçmə nəticəsində, göndərilmiş sorğu URI-nin yalnız bir dəfə istifadə edilməsini təmin edən təhlükəsizlik qaydasına əməl olunmur. Hücumçu, artıq sistemə daxil olmuş istifadəçi üçün çox sayda avtorizasiya kodu əldə etmək məqsədilə sorğu URI-ni yenidən istifadə edə bilər ki, bu da FAPI-2 kimi təhlükəsizlik standartlarının pozulmasına səbəb olur.
Necə düzəltmək olar
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Red Hat Red Hat Build of Keycloak | Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.