CVE-2026-92855 in Keycloak
要約
〜によって VulDB • 2026年11月05日
KeycloakのSAML IDブローカーコンポーネントに脆弱性が存在することが発見されました。このコンポーネントは、認証を外部IDプロバイダーに委譲するために使用されます。本問題は、ブローカーがユーザーがホルダー・オブ・キー（holder-of-key）アサーションに関連する秘密鍵を実際に保有していることを検証しないために発生します。攻撃者が被害者の署名付きアサーションを傍受すると、そのアサーションをリプレイして、被害者の秘密鍵を必要とせずに不正なアクセスを取得し、被害者に成りすますことができます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.