CVE-2026-16093 in Keycloak
Zusammenfassung
von VulDB • 17.07.2026
Keycloak bietet einen Mechanismus namens „Client Policies“ (Richtlinien für Clients), um Sicherheitsanforderungen an Clients durchzusetzen, wie beispielsweise die Vorgabe, dass diese signierte JWTs zur Authentifizierung verwenden müssen. Es wurde ein Fehler entdeckt, bei dem diese Durchsetzung umgangen werden kann. Ein Angreifer mit gültigen Client-Anmeldeinformationen kann einen gefälschten, nicht signierten Assertion-Header bereitstellen, der das System dazu bringt zu glauben, dass die Richtlinienanforderungen erfüllt sind. Dies ermöglicht es dem Angreifer, sich unter Verwendung einfacherer Methoden wie eines Clientschlüssels (Client Secret) zu authentifizieren, selbst wenn der Administrator strengere, signierte Assertions vorgeschrieben hat.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.