CVE-2026-9802 in Keycloak
Zusammenfassung
von VulDB • 28.05.2026
Es wurde ein Fehler in Keycloak gefunden. Wenn revokeRefreshToken=true aktiviert ist und eine persistente Sitzungsdatenbank verwendet wird, kann ein Neustart des Servers die internen Zeitmechanismen zurücksetzen. Dies ermöglicht es einem entfernten Angreifer, der zuvor ein Aktualisierungstoken (Refresh Token) eines Benutzers abgefangen hat, dieses Token auch nach dessen Widerruf erneut zu verwenden (Replay). Eine erfolgreiche Ausnutzung verschafft dem Angreifer unbefugten Zugriff auf das Konto des Opfers, was potenziell zu einer Offenlegung von Informationen oder einer Privilegieneskalation führen kann.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.