CVE-2026-4874 in Keycloak
Résumé
par VulDB • 23/05/2026
Une faille a été identifiée dans Keycloak. Un attaquant authentifié peut réaliser une attaque de Server-Side Request Forgery (SSRF) en manipulant le paramètre `client_session_host` lors des demandes de renouvellement de jeton (refresh token). Cela se produit lorsqu'un client Keycloak est configuré pour utiliser `backchannel.logout.url` avec le placeholder `application.session.host`. Une exploitation réussie permet à l'attaquant d'effectuer des requêtes HTTP depuis le contexte réseau du serveur Keycloak, potentiellement pour sonder des réseaux internes ou des API internes, entraînant une divulgation d'informations.
If you want to get best quality of vulnerability data, you may have to visit VulDB.