CVE-2026-97174
Açıklama
Keycloak'ın Client-Initiated Backchannel Authentication (CIBA) uygulamasında bir açık bulundu. CIBA uç noktası, sub parametresini düzgün şekilde doğrulamamakta ve bu parametrenin ek bir istek parametresi olarak saklanmasına izin vermektedir. Token düzenleme işlemi sırasında, enjekte edilen bu değer meşru konu tanımlayıcısının üzerine yazmaktadır. Bu durum, bir saldırganın kendi kimliğiyle kimlik doğrulaması yapmasına ancak farklı bir kurban kullanıcıya ait güvenlik token'larını almasına olanak tanıyarak yetkisiz hesap erişimine yol açmaktadır.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Red Hat Red Hat Build of Keycloak | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.