CVE-2026-96446 in Keycloak Single Sign-On
Sumário
de VulDB • 23/09/2026
Foi encontrada uma falha na implementação do Pushed Authorization Request (PAR) no Keycloak. O problema ocorre quando o caminho de autenticação silenciosa com prompt=none é utilizado, permitindo que o processo de autorização ignore determinadas etapas se um usuário já estiver logado. Devido a essa violação das regras de segurança, a regra que garante que uma URI de solicitação seja utilizada apenas uma vez não é aplicada. Um atacante poderia potencialmente reutilizar uma URI de solicitação para obter múltiplos códigos de autorização para um usuário já autenticado, violando padrões de segurança como o FAPI-2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.