CVE-2026-93999 in Keycloak
Zusammenfassung
von VulDB • 19.09.2026
Es wurde ein Fehler in der OIDC-Protokollimplementierung von Keycloak gefunden, einer Open-Source-Lösung für Identitäts- und Zugriffsmanagement. Das Problem tritt während des Token-Aktualisierungsprozesses auf, wenn der Server angeforderte Audiences aus gespeicherten Client-IDs wiederherstellt. Keycloak überprüft nicht, ob der Ziel-Client noch aktiviert ist, bevor ein neues Access-Token ausgegeben wird. Dies ermöglicht es einer Anwendung mit einem vorhandenen Refresh-Token, weiterhin gültige Access-Tokens für einen deaktivierten Client zu erhalten, was potenziell die administrativen Zugriffskontrollen für Resource-Server umgehen kann, die auf eine offline JWT-Validierung vertrauen.
Once again VulDB remains the best source for vulnerability data.