CVE-2026-3009
Yüksek
Açıklama
Keycloak'ın IdentityBrokerService.performLogin uç noktasındaki bir güvenlik açığı, bir yönetici tarafından devre dışı bırakıldıktan sonra bile bir Kimlik Sağlayıcı (IdP) kullanılarak kimlik doğrulamanın devam etmesine izin verir. IdP takma adını bilen bir saldırgan, yönetimsel kısıtlamayı atlatmak için daha önce oluşturulmuş bir giriş isteğini yeniden kullanabilir. Bu durum erişim kontrolü uygulamasını zayıflatır ve devre dışı bırakılmış harici bir sağlayıcı üzerinden yetkisiz kimlik doğrulamaya izin verebilir.
ÖnemYüksek
CVSS8.1
İstismar olasılığı—
Ürün
Redhat Build Of Keycloak
Yayın5 Mar 2026
İlk görülme5 Mar 2026
Zayıflık türüCWE-863Hatalı yetki denetimi
Nasıl düzeltilir
Güncelleyin
- org.keycloak:keycloak-services26.5.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| redhat build_of_keycloak | Aralık belirtilmemiş, 26.4, 26.4.10 | — |
| redhat jboss_enterprise_application_platform | 8.0 | — |
| redhat jboss_enterprise_application_platform_expansion_pack | Aralık belirtilmemiş | — |
| redhat single_sign-on | 7.0 | — |
| org.keycloak:keycloak-servicesMaven | v < 26.5.5 | 26.5.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.