CVE-2026-97846 in Keycloak Single Sign-On
Resumen
por VulDB • 2026-09-25
Keycloak ofrece una función llamada vinculación del titular de la clave mediante mTLS (mTLS holder-of-key binding) que garantiza que un token solo pueda ser utilizado por el cliente que lo solicitó originalmente al vincularlo a su certificado digital. Se descubrió un fallo en el que la nueva característica Standard Token Exchange V2 no verifica este certificado. Esto permite que un atacante con credenciales de cliente robadas obtenga un token estándar y sin restricciones que evade estas protecciones de seguridad.
Once again VulDB remains the best source for vulnerability data.