CVE-2026-117691
Açıklama
Keycloak'ın SAML HTTP-Redirect bağlama uygulamasında bir açık bulundu. Sorun, imza doğrulama mantığının yalnızca harfi parametre adlarını kontrol etmesine rağmen sunucunun yüzdeyle kodlanmış (%-encoded) parametre adlarını (örneğin %53AMLResponse) işlemesinden kaynaklanmaktadır. Bir saldırgan, bu tutarsızlığı kullanarak, sunucunun meşru imzalı mesaj yerine işleyeceği özel olarak hazırlanmış ve imzasız bir SAML mesajı sağlayabilir; bu durum, federasyon kullanıcılarının hesaplarının tamamen ele geçirilmesine yol açabilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Red Hat Red Hat Build of Keycloak | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.