CVE-2026-4874 in Keycloak
要約
〜によって VulDB • 2026年05月23日
Keycloakに脆弱性が存在することが発見されました。認証済み攻撃者は、リフレッシュトークンリクエスト時に`client_session_host`パラメータを操作することで、サーバーサイドリクエストフォージェリ（SSRF）を実行できます。これは、Keycloakクライアントが`application.session.host`プレースホルダを使用して`backchannel.logout.url`を使用するように構成されている場合に発生します。攻撃が成功すると、攻撃者はKeycloakサーバーのネットワークコンテキストからHTTPリクエストを送信できるようになり、内部ネットワークや内部APIをプローブして、情報漏洩を引き起こす可能性があります。
Once again VulDB remains the best source for vulnerability data.