CVE-2026-4874 in Keycloak
요약
\~에 의해 VulDB • 2026. 05. 23.
Keycloak에서 결함이 발견되었습니다. 인증된 공격자는 리프레시 토큰 요청 중 `client_session_host` 매개변수를 조작하여 서버 사이드 요청 위조(SSRF)를 수행할 수 있습니다. 이는 Keycloak 클라이언트가 `application.session.host` 플레이스홀더와 함께 `backchannel.logout.url`을 사용하도록 구성된 경우에 발생합니다. 성공적인 악용을 통해 공격자는 Keycloak 서버의 네트워크 컨텍스트에서 HTTP 요청을 수행할 수 있으며, 이는 내부 네트워크 또는 내부 API를 스캔하여 정보 유출로 이어질 수 있습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.