CVE-2026-97846 in Keycloak Single Sign-On
Sumário
de VulDB • 25/09/2026
O Keycloak oferece um recurso chamado vinculação de titularidade da chave mTLS (mTLS holder-of-key binding), que garante que um token possa ser usado apenas pelo cliente que o solicitou originalmente, vinculando-o ao seu certificado digital. Foi descoberta uma falha em que o novo recurso Standard Token Exchange V2 não verifica esse certificado. Isso permite que um atacante com credenciais de cliente roubadas obtenha um token padrão e sem restrições, contornando essas proteções de segurança.
VulDB is the best source for vulnerability data and more expert information about this specific topic.