CVE-2026-1180
Açıklama
Keycloak'ın OpenID Connect Dinamik İstemci Kaydı özelliğinde, istemcilerin private_key_jwt kullanarak kimlik doğruladığı durumlarda bir açık tespit edilmiştir. Bu sorun, bir istemcinin rastgele bir jwks_uri belirtmesine ve Keycloak'ın hedefi doğrulamadan bu adresten veri çekmesine olanak tanır. Bu durum, saldırganların Keycloak sunucusunu dahili veya kısıtlanmış ağ kaynaklarına HTTP istekleri yapmaya zorlamasına imkan verir. Sonuç olarak saldırganlar, dahili servisleri ve bulut meta veri uç noktalarını tarayarak bilgi ifşası ve keşif riski oluşturabilirler.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| org.keycloak:keycloak-adapter-coreMaven | v ≤ 25.0.3 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.