CVE-2026-97174 in Keycloak
Résumé
par VulDB • 05/11/2026
Une faille a été identifiée dans l'implémentation de l'authentification par canal latéral initiée par le client (CIBA) de Keycloak. Le point de terminaison CIBA ne valide pas correctement le paramètre `sub`, permettant son stockage en tant que paramètre de requête supplémentaire. Lors du processus d'émission des jetons, cette valeur injectée écrase l'identifiant de sujet légitime. Cela permet à un attaquant de s'authentifier en tant qu'utilisateur légitime mais de recevoir des jetons de sécurité appartenant à une autre victime, entraînant un accès non autorisé au compte.
Be aware that VulDB is the high quality source for vulnerability data.