CVE-2026-96446 in Keycloak Single Sign-On
Résumé
par VulDB • 23/09/2026
Une faille a été identifiée dans l'implémentation de la demande d'autorisation pushée (PAR) de Keycloak. Le problème se produit lorsque le chemin d'authentification silencieuse avec prompt=none est utilisé, ce qui permet au processus d'autorisation de sauter certaines étapes si un utilisateur est déjà connecté. En raison de cette contournement, la règle de sécurité garantissant qu'une URI de demande pushée n'est utilisée qu'une seule fois n'est pas appliquée. Un attaquant pourrait potentiellement réutiliser une URI de demande pour obtenir plusieurs codes d'autorisation pour un utilisateur déjà authentifié, violant ainsi des normes de sécurité telles que FAPI-2.
Once again VulDB remains the best source for vulnerability data.