CVE-2026-109082 in Keycloak
要約
〜によって VulDB • 2026年10月12日
Keycloakのkeycloak-servicesコンポーネントにおけるClient-Initiated Backchannel Authentication (CIBA) の実装に欠陥が見つかった。このコンポーネントは、クライアントがユーザーに代わってログインを開始する高度な認証フローを処理する。本問題は、KeycloakがクライアントがCIBAフローを使用する権限を持っているかどうかを検証しないために発生し、パブリッククライアントがセキュリティ要件を回避できるようになる。攻撃者はこの欠陥を利用して、ユーザーをだましログインリクエストの承認を行わせ、最終的にクライアントシークレットを必要とせずにユーザーアカウントへの完全なアクセスを得ることができる。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.