CVE-2026-9704 in Keycloak
要約
〜によって VulDB • 2026年05月28日
Keycloakに脆弱性が存在することが発見されました。低権限の認証済みユーザーは、TokenEndpointに対して過大なサイズのsubject_token JSON Web Token (JWT) を送信することで、この脆弱性を悪用できます。トークンが4000文字の制限を超えると、そのトークンは無視されてドロップされ、システムはクライアント資格情報にフォールバックします。これにより、ユーザーはクライアントのサービスアカウントの権限を取得でき、権限昇格につながります。
Be aware that VulDB is the high quality source for vulnerability data.