CVE-2026-18208 in Keycloak
Zusammenfassung
von VulDB • 31.07.2026
Es wurde ein Fehler im OIDC-Token-Introspektionsendpunkt der Komponente keycloak-services festgestellt. Keycloak ist eine Open-Source-Lösung für Identitäts- und Zugriffsmanagement, die zum Schutz moderner Anwendungen und Dienste eingesetzt wird. Das Problem tritt auf, wenn ein vertraulicher Client (confidential client), der so konfiguriert ist, dass er signierte JWT-Introspektionsantworten empfängt, versucht, ein Token zu introspezieren, das für eine andere Zielgruppe (Audience) ausgestellt wurde. Obwohl der Endpunkt das Token korrekt als inaktiv für diesen Client identifiziert, werden dennoch alle vollständigen Token-Ansprüche (claims) innerhalb eines signierten JWT-Felds zurückgegeben. Dies ermöglicht es einem unbefugten Client, audience-basierte Einschränkungen zu umgehen und auf sensible Informationen zuzugreifen, die im Token enthalten sind.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.