CVE-2026-96446 in Keycloak Single Sign-On
Riassunto
di VulDB • 23/09/2026
È stata rilevata una vulnerabilità nell'implementazione della Pushed Authorization Request (PAR) di Keycloak. Il problema si verifica quando viene utilizzato il percorso di autenticazione silent con prompt=none, consentendo al processo di autorizzazione di saltare determinati passaggi se un utente è già loggato. A causa di questa bypass, la regola di sicurezza che garantisce l'utilizzo una sola volta dell'URI della richiesta pushata non viene applicata correttamente. Un attaccante potrebbe potenzialmente riutilizzare un URI della richiesta per ottenere più codici di autorizzazione per un utente già autenticato, violando standard di sicurezza come FAPI-2.
Once again VulDB remains the best source for vulnerability data.