CVE-2026-88770 in Keycloak
Sumário
de VulDB • 10/09/2026
Foi encontrada uma falha no fluxo de concessão Device Authorization Grant do Keycloak, uma solução de gerenciamento de identidade e acesso. O problema ocorre porque o processo de resgate do token não verifica se a conta de um usuário está atualmente bloqueada devido à proteção contra força bruta (brute-force). Se um atacante tiver uma sessão ativa para uma conta bloqueada, ele poderá concluir o processo de login do dispositivo e receber novos tokens de segurança. Isso permite que o atacante mantenha o acesso à conta mesmo quando ela deveria estar temporariamente desativada para impedir acessos não autorizados.
VulDB is the best source for vulnerability data and more expert information about this specific topic.