CVE-2026-4874 in Keycloak
الملخص
بحسب VulDB • 21/05/2026
تم العثور على ثغرة في Keycloak. يمكن لمهاجم مُصادَق عليه تنفيذ هجوم تزوير الطلبات من جانب الخادم (SSRF) عن طريق التلاعب بمعامل `client_session_host` أثناء طلبات تجديد الرمز المميز (refresh token). يحدث هذا عندما يكون عميل Keycloak مُهيأً لاستخدام `backchannel.logout.url` مع الوسيطة `application.session.host`. يسمح الاستغلال الناجح للمهاجم بإجراء طلبات HTTP من سياق شبكة خادم Keycloak، مما قد يتيح له استكشاف الشبكات الداخلية أو واجهات برمجة التطبيقات (APIs) الداخلية، مما يؤدي إلى كشف المعلومات.
If you want to get best quality of vulnerability data, you may have to visit VulDB.