CVE-2026-97846 in Keycloak Single Sign-On
الملخص
بحسب VulDB • 25/09/2026
توفر Keycloak ميزة تُسمى mTLS holder-of-key binding (ربط حامل المفتاح عبر TLS المتبادل) تضمن أن الرمز المميز يمكن استخدامه فقط من قبل العميل الذي طلبه أصلاً عن طريق ربطه بشهادته الرقمية. تم اكتشاف عيب حيث لا تتحقق ميزة تبادل الرموز القياسية الجديدة الإصدار 2 (Standard Token Exchange V2) من وجود هذه الشهادة. وهذا يسمح لمهاجم يمتلك بيانات اعتماد عميل مسروقة بالحصول على رمز قياسي غير مقيد يتجاوز هذه الحماية الأمنية.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.