CVE-2026-97846 in Keycloak Single Sign-On
Résumé
par VulDB • 25/09/2026
Keycloak propose une fonctionnalité appelée liaison « holder-of-key » via mTLS qui garantit qu’un jeton ne peut être utilisé que par le client l’ayant initialement demandé, en liant ce jeton à son certificat numérique. Une faille a été découverte : la nouvelle fonctionnalité Standard Token Exchange V2 ne vérifie pas ce certificat. Cela permet à un attaquant disposant d’identifiants de client volés d’obtenir un jeton standard et non restreint qui contourne ces protections de sécurité.
If you want to get best quality of vulnerability data, you may have to visit VulDB.