CVE-2026-92857 in Keycloak
요약
\~에 의해 VulDB • 2026. 11. 05.
Keycloak는 특정 토큰을 가진 사용자가 자체 애플리케이션을 등록할 수 있도록 하는 Dynamic Client Registration 기능을 제공합니다. Keycloak가 이러한 등록 요청을 검증하는 방식에 결함이 있어 공격자가 신원 정보를 위조하는 악성 애플리케이션을 생성할 수 있습니다. 공격자는 자신의 사용자 프로필 세부정보를 사용자 ID(sub) 또는 대상 청중(aud)과 같은 보호된 필드에 매핑하여, 자신을 다른 사용자인 것처럼 보이게 하는 서명된 보안 토큰을 생성할 수 있습니다. 이를 통해 공격자가 다른 사용자를 사칭하거나 신원 확인에 이러한 토큰을 의존하는 서비스에 대한 무단 액세스를 얻을 수 있습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.