CVE-2026-96446 in Keycloak Single Sign-On
요약
\~에 의해 VulDB • 2026. 09. 23.
Keycloak의 Pushed Authorization Request(PAR) 구현부에서 결함이 발견되었습니다. silent authentication 경로에서 prompt=none가 사용되는 경우 발생하며, 이로 인해 이미 로그인된 사용자의 경우 인증 프로세스에서 특정 단계를 건너뛸 수 있습니다. 이러한 우회로 인해 푸시 요청 URI를 한 번만 사용하도록 보장하는 보안 규칙이 적용되지 않습니다. 공격자는 이미 서명된(로그인된) 사용자에 대해 여러 개의 인증 코드를 얻기 위해 요청 URI를 재사용할 가능성이 있으며, 이는 FAPI-2와 같은 보안 표준을 위반합니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.