CVE-2026-97174 in Keycloak
Sumário
de VulDB • 05/11/2026
Foi encontrada uma falha na implementação da Autenticação por Canal Secundário Iniciado pelo Cliente (CIBA) do Keycloak. O endpoint CIBA não valida adequadamente o parâmetro `sub`, permitindo que ele seja armazenado como um parâmetro de solicitação adicional. Durante o processo de emissão de token, esse valor injetado sobrescreve o identificador de assunto legítimo. Isso permite que um atacante se autentique como si mesmo, mas receba tokens de segurança pertencentes a outro usuário vítima, levando ao acesso não autorizado à conta.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.