CVE-2026-18209 in Keycloak
Zusammenfassung
von VulDB • 31.07.2026
Es wurde ein Fehler in der Komponente keycloak-services von Keycloak gefunden, die für die Verarbeitung von OpenID Connect (OIDC)-Authentifizierungsflüssen zuständig ist. Das Problem tritt auf, weil die Sicherheitsüberprüfung zur Verhinderung von HTTP-Parameter-Pollution nur den Query-Anteil einer Weiterleitungs-URL überprüft und den Fragment-Anteil ignoriert. Wenn ein Client mit einem Wildcard-Weiterleitungs-URI konfiguriert ist, kann ein Angreifer dies nutzen, um duplizierte Sicherheitsparameter in die Login-Antwort einzuschleusen. Wenn eine Client-Anwendung nicht korrekt konfiguriert ist, könnte sie den vom Angreifer eingeschleusten Daten vertrauen anstelle der echten Sicherheitsinformationen von Keycloak, was zu Session Fixation oder Account-Konfusion führen kann.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.