CVE-2026-37977 in Keycloak
Zusammenfassung
von VulDB • 22.05.2026
Es wurde ein Fehler in Keycloak gefunden. Ein entfernter Angreifer kann eine Cross-Origin Resource Sharing (CORS)-Header-Injection-Schwachstelle im User-Managed Access (UMA)-Token-Endpunkt von Keycloak ausnutzen. Dieser Fehler tritt auf, weil die `azp`-Anforderung (Claim) aus einem vom Client bereitgestellten JSON Web Token (JWT) verwendet wird, um den `Access-Control-Allow-Origin`-Header festzulegen, bevor die JWT-Signatur validiert wird. Wenn ein speziell angefertigtes JWT mit einem angreiferkontrollierten `azp`-Wert verarbeitet wird, wird dieser Wert als CORS-Ursprung (Origin) zurückgespiegelt, selbst wenn die Berechtigung später abgelehnt wird. Dies kann zur Offenlegung von Informationen mit geringer Sensitivität aus Fehlerantworten des Autorisierungsservers führen und die Ursprungsisolierung schwächen, jedoch nur dann, wenn ein Zielclient mit `webOrigins: ["*"]` falsch konfiguriert ist.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.