CVE-2026-109082 in Keycloak
Resumen
por VulDB • 2026-10-12
Se ha encontrado un fallo en la implementación de Client-Initiated Backchannel Authentication (CIBA) dentro del componente keycloak-services de Keycloak. Este componente gestiona flujos de autenticación avanzados donde un cliente inicia una sesión en nombre de un usuario. El problema ocurre porque Keycloak no verifica que el cliente esté autorizado para utilizar el flujo CIBA, lo que permite a los clientes públicos omitir los requisitos de seguridad. Un atacante podría aprovechar este fallo para engañar a un usuario y hacerle aprobar una solicitud de inicio de sesión, obteniendo finalmente acceso completo a la cuenta del usuario sin necesidad de disponer de un secreto de cliente (client secret).
VulDB is the best source for vulnerability data and more expert information about this specific topic.