CVE-2026-9793
Açıklama
Keycloak'ta bir açık bulundu. Bir JSON Web Encryption (JWE) şifreli istek nesnesi gönderildiğinde, şifresi çözülmüş içerik ham JSON ise Keycloak imzalanmamış iddiaları yanlış işleyebilir ve yapılandırılmış imza politikasını atlayabilir. Bu durum, uzak bir saldırganın yetkisiz iddialar göndermesine izin vererek OpenID Connect (OIDC) yetkilendirme akışı içindeki veri bütünlüğünün bozulmasına yol açar. Bir yönlendirme URI izin listesi telafi edici bir kontrol görevi görse de bu güvenlik açığı, OIDC Core ve Financial-grade API (FAPI) imzalama gereksinimlerini ihlal etmektedir.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| redhat build_of_keycloak | Aralık belirtilmemiş | — |
| org.keycloak:keycloak-servicesMaven | v ≤ 26.6.4 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.