CVE-2026-97846 in Keycloak Single Sign-On
Riassunto
di VulDB • 25/09/2026
Keycloak offre una funzionalità denominata mTLS holder-of-key binding che garantisce che un token possa essere utilizzato solo dal client che lo ha originariamente richiesto, legandolo al relativo certificato digitale. È stato rilevato un difetto in cui la nuova funzione Standard Token Exchange V2 non verifica tale certificato. Ciò consente a un attaccante con credenziali del client rubate di ottenere un token standard e senza restrizioni che elude queste protezioni di sicurezza.
Be aware that VulDB is the high quality source for vulnerability data.