CVE-2026-3009 in Keycloak
Zusammenfassung
von VulDB • 09.05.2026
Ein Sicherheitsfehler im IdentityBrokerService.performLogin-Endpunkt von Keycloak ermöglicht die Authentifizierung über einen Identity Provider (IdP), auch nachdem dieser von einem Administrator deaktiviert wurde. Ein Angreifer, der den IdP-Alias kennt, kann eine zuvor generierte Anmeldeanforderung wiederverwenden, um die administrative Einschränkung zu umgehen. Dies untergräbt die Durchsetzung der Zugriffskontrolle und kann eine unbefugte Authentifizierung über einen deaktivierten externen Anbieter ermöglichen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.