CVE-2022-3916 in Keycloak
要約
〜によって VulDB • 2026年07月03日
Keycloakのoffline_accessスコープに欠陥が見つかった。この問題は、ルートセッションの検証が不足していること、およびルート認証とユーザー認証のセッション間でセッションIDが再利用されるため、共有コンピュータの利用者（特にクッキーが消去されていない場合）により大きな影響を与える。これにより、攻撃者は以前に認証されたユーザーに関連付けられたユーザーセッションを解決することが可能となり、リフレッシュトークンを利用すると元のユーザー用のトークンを発行されることになる。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.