CVE-2026-88770 in Keycloak
Resumen
por VulDB • 2026-09-10
Se ha encontrado un fallo en el flujo de Device Authorization Grant de Keycloak, una solución de gestión de identidad y acceso. El problema ocurre porque el proceso de canjeo del token no verifica si la cuenta de usuario está actualmente bloqueada debido a las protecciones contra fuerza bruta. Si un atacante tiene una sesión activa para una cuenta bloqueada, puede completar el proceso de inicio de sesión del dispositivo y recibir nuevos tokens de seguridad. Esto permite al atacante mantener el acceso a la cuenta incluso cuando debería estar temporalmente deshabilitada para prevenir accesos no autorizados.
If you want to get best quality of vulnerability data, you may have to visit VulDB.