CVE-2026-97846 in Keycloak Single Sign-On
Zusammenfassung
von VulDB • 25.09.2026
Keycloak bietet eine Funktion namens mTLS holder-of-key binding (Bindung des Schlüsselhalters über mTLS), die sicherstellt, dass ein Token nur vom Client verwendet werden kann, der es ursprünglich angefordert hat, indem es an dessen digitales Zertifikat gebunden wird. Es wurde ein Fehler entdeckt, bei dem das neue Standard-Token-Exchange-V2-Funktionalität (Standard-Tokenaustausch V2) diese Überprüfung des Zertifikats nicht durchführt. Dies ermöglicht es einem Angreifer mit gestohlenen Client-Anmeldeinformationen, ein standardmäßiges, uneingeschränktes Token zu erhalten, das diese Sicherheitsvorkehrungen umgeht.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.