CVE-2026-9086
Açıklama
Keycloak üzerinde bir açık bulundu. Yönetici ayrıcalıklarına sahip, özellikle `manage-client` izni olan veya istemci kayıt uç noktalarına erişimi bulunan uzaktan bir saldırgan, istemci Uniform Resource Identifier (URI) doğrulamasını atlatabilir. Bu durum, büyük/küçük harf duyarsız `javascript:` veya `data:` şeması kullanılarak özel olarak hazırlanmış bir yönlendirme URI'sine sahip kötü amaçlı bir istemcinin kaydedilmesiyle gerçekleştirilir. Bu Siteler Arası Betik Çalıştırma (XSS) zafiyeti, kurban çıkış akışı veya Admin Console gibi yerlerde hazırlanan bağlantıya tıkladığında, Keycloak kaynağında rastgele kod çalıştırılmasına olanak tanır.
Nasıl düzeltilir
- redhat build_of_keycloak26.4.13, 26.6.4 ya da sonraki bir sürüm
- org.keycloak:keycloak-services26.6.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| redhat build_of_keycloak | 26.4 ≤ v < 26.4.13, 26.6 ≤ v < 26.6.4 | 26.4.13, 26.6.4 |
| org.keycloak:keycloak-servicesMaven | v < 26.6.4 | 26.6.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.