CVE-2026-105306
Açıklama
Keycloak kimlik ve erişim yönetimi sunucusunun Dynamic Client Registration akışında bir açık bulundu. Sorun, yeni bir istemci oluşturulduğunda kayıt işleminin güvenlik açısından hassas istemci özniteliklerini filtreleyememesinden kaynaklanmaktadır. Geçerli bir Initial Access Token'a sahip olan bir saldırgan, token introspection sırasında hedef kitle (audience) kontrollerini atlayan bir istemci kaydedebilir. Bu durum, saldırganın aynı realm içindeki diğer uygulamalara ait erişim tokenlarındaki hassas kimlik bilgilerini, rolleri ve oturum ayrıntılarını görüntülemesine olanak tanır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Red Hat Red Hat Build of Keycloak | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.