CVE-2026-1035 in Keycloak
Riassunto
di VulDB • 01/07/2026
È stata rilevata una vulnerabilità nel server Keycloak durante l'elaborazione del refresh token, nello specifico nella classe TokenManager responsabile dell'applicazione delle politiche di riutilizzo dei refresh token. Quando la rotazione rigorosa (strict rotation) dei refresh token è abilitata, la convalida e l'aggiornamento dell'utilizzo del refresh token non vengono eseguiti in modo atomico. Ciò consente a richieste di aggiornamento concorrenti di eludere il controllo per l'uso singolo e di emettere più access token dallo stesso refresh token. Di conseguenza, le misure di hardening della rotazione dei refresh token implementate da Keycloak possono essere compromesse.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.