CVE-2026-90997
Açıklama
Keycloak üzerinde bir açık bulundu. MySQL veya MariaDB ile durumsuz (stateless) modda dağıtıldığında, veritabanı sürücüsü ile Keycloak uygulama mantığı arasındaki satır sayısı semantiği uyumsuzluğu, bir saldırganın yeniden oynatma korumasını (replay protection) atlatmasına olanak tanır. Bu güvenlik açığı; JWT istemci iddiaları, DPoP kanıtları veya tek kullanımlık şifre (TOTP) kodları gibi tek seferlik güvenlik ögelerini ele geçiren bir saldırganın bunları yeniden oynatmasını sağlar. Başarılı bir istismar, token uç noktasına veya giriş akışına yetkisiz erişim sağlar.
Nasıl düzeltilir
- Keycloak Keycloak26.7.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Keycloak Keycloak | 26.7.0 ≤ v < 26.7.4 | 26.7.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.