CVE-2026-18209
Açıklama
Keycloak'ın OpenID Connect (OIDC) kimlik doğrulama akışlarını yöneten keycloak-services bileşeninde bir açık bulundu. Sorun, HTTP parametre kirliliğini önlemek için tasarlanan güvenlik kontrolünün yalnızca yönlendirme URL'sinin sorgu kısmını incelemesi ve fragman kısmını görmezden gelmesinden kaynaklanmaktadır. Bir istemci joker karakterli (wildcard) bir yönlendirme URI'si ile yapılandırıldığında, bir saldırgan bunu giriş yanıtına yinelenen güvenlik parametreleri enjekte etmek için kullanabilir. Eğer bir istemci uygulaması doğru şekilde yapılandırılmamışsa, Keycloak'tan gelen gerçek güvenlik bilgileri yerine saldırgan tarafından enjekte edilen verilere güvenebilir; bu durum oturum sabitlemeye veya hesap karışıklığına yol açabilir.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| redhat build_of_keycloak | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.