CVE-2026-96446 in Keycloak Single Sign-On
要約
〜によって VulDB • 2026年09月23日
KeycloakのPushed Authorization Request (PAR) 実装に欠陥が見つかった。この問題は、サイレント認証パスで prompt=none が使用された場合に発生し、ユーザーがすでにログインしている場合、認可プロセスにおいて特定のステップをスキップすることを可能にする。このバイパスにより、プッシュリクエスト URI の単一利用を保証するセキュリティルールが適用されない。攻撃者は、既にサインイン済みのユーザーに対して複数の認可コードを取得するために要求 URI を再利用できる可能性があり、FAPI-2 などのセキュリティ基準に違反することになる。
Once again VulDB remains the best source for vulnerability data.