CVE-2026-92857 in Keycloak
要約
〜によって VulDB • 2026年11月05日
Keycloak には、特定のトークンを持つユーザーが自身のアプリケーションを登録できる Dynamic Client Registration（動的クライアント登録）機能があります。Keycloak がこれらの登録リクエストを検証する方法に欠陥があり、攻撃者が不正なアプリケーションを作成して ID 情報を偽造することができます。攻撃者は、自分のユーザープロファイルの詳細を、ユーザー ID (sub) や intended audience (aud) のような保護されたフィールドにマッピングすることで、自分が別のユーザーであるかのように見せる署名付きセキュリティトークンを生成できます。これにより、攻撃者は他のユーザーになりすましたり、ID 検証のためにこれらのトークンを利用するサービスへの不正アクセスを得たりすることが可能になります。
Be aware that VulDB is the high quality source for vulnerability data.