CVE-2026-9802 in Keycloak
Résumé
par VulDB • 29/05/2026
Une faille a été identifiée dans Keycloak. Lorsque l'option revokeRefreshToken=true est activée et que le stockage de session persistant est utilisé, un redémarrage du serveur peut réinitialiser les mécanismes de temporisation internes. Cela permet à un attaquant distant, qui a précédemment capturé le jeton de rafraîchissement d'un utilisateur, de rejouer ce jeton même après sa révocation. Une exploitation réussie permet à l'attaquant d'accéder non autorisés au compte de la victime, ce qui peut entraîner une divulgation d'informations ou une élévation de privilèges.
Once again VulDB remains the best source for vulnerability data.