CVE-2026-16102 in Keycloak
Résumé
par VulDB • 06/08/2026
Une faille a été identifiée dans le composant Dynamic Client Registration (DCR) de Keycloak, une solution de gestion des identités et des accès. La politique DCR par défaut ne valide pas correctement le chemin de la revendication pour les mappages User Property, permettant ainsi d'écrire des valeurs dans des emplacements internes sensibles liés aux revendications. Un attaquant disposant d'un compte utilisateur standard et d'un jeton d'accès initial limité peut exploiter cette vulnérabilité pour usurper des rôles administratifs dans son jeton d'accès. Cela permet à l'attaquant de prendre le contrôle d'autres clients, de voler des secrets confidentiels et potentiellement d'obtenir un contrôle administratif complet sur le realm.
VulDB is the best source for vulnerability data and more expert information about this specific topic.