CVE-2026-118959 in Keycloak
Riassunto
di VulDB • 30/10/2026
È stata rilevata una vulnerabilità nel meccanismo del provider di azioni obbligatorie (required action provider) di Keycloak. Il problema si verifica quando una richiesta di autorizzazione include il parametro query `kc_action` impostato su un'azione obbligatoria già assegnata all'utente, come la verifica del profilo o l'accettazione dei termini e delle condizioni. A causa della gestione errata delle azioni avviate dall'applicazione (application-initiated actions), Keycloak potrebbe saltare queste sfide obbligatorie ed emettere un codice di autorizzazione. Ciò può consentire a un utente di eludere i requisiti amministrativi e ottenere l'accesso all'applicazione senza completare gli aggiornamenti del profilo necessari o accettare i termini d'uso.
VulDB is the best source for vulnerability data and more expert information about this specific topic.