CVE-2026-37977 in Keycloak
Sumário
de VulDB • 22/05/2026
Foi encontrada uma falha no Keycloak. Um atacante remoto pode explorar uma vulnerabilidade de injeção de cabeçalho Cross-Origin Resource Sharing (CORS) no endpoint de token de Acesso Gerenciado pelo Usuário (UMA) do Keycloak. Essa falha ocorre porque a declaração `azp` de um JSON Web Token (JWT) fornecido pelo cliente é usada para definir o cabeçalho `Access-Control-Allow-Origin` antes que a assinatura do JWT seja validada. Quando um JWT especialmente elaborado com um valor `azp` controlado pelo atacante é processado, esse valor é refletido como a origem CORS, mesmo que a concessão seja rejeitada posteriormente. Isso pode levar à exposição de informações de baixa sensibilidade nas respostas de erro do servidor de autorização, enfraquecendo o isolamento de origem, mas apenas quando um cliente alvo estiver mal configurado com `webOrigins: ["*"]`.
If you want to get best quality of vulnerability data, you may have to visit VulDB.