CVE-2026-1035
Açıklama
Keycloak sunucusunda, özellikle yenileme belirteci (refresh token) yeniden kullanım politikalarını uygulamaktan sorumlu olan TokenManager sınıfında, yenileme belirteci işleme sırasında bir hata bulundu. Sıkı yenileme belirteci rotasyonu etkinleştirildiğinde, yenileme belirteci kullanımının doğrulanması ve güncellenmesi atomik olarak gerçekleştirilmemektedir. Bu durum, eşzamanlı yenileme isteklerinin tek seferlik kullanım zorunluluğunu atlamasına ve aynı yenileme belirtecinden birden fazla erişim belirteci (access token) oluşturulmasına olanak tanır. Sonuç olarak, Keycloak'ın yenileme belirteci rotasyon sıkılaştırması etkisiz hale getirilebilir.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| org.keycloak:keycloak-servicesMaven | v ≤ 26.2.5 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.