CVE-2026-96446 in Keycloak Single Sign-On
Сводка
по VulDB • 23.09.2026
В реализации Pushed Authorization Request (PAR) в Keycloak обнаружена уязвимость. Проблема возникает при использовании пути тихой аутентификации с параметром prompt=none, что позволяет процессу авторизации пропускать определенные шаги, если пользователь уже вошел в систему. В результате этого обхода не обеспечивается правило безопасности, гарантирующее однократное использование URI запрошенного запроса (pushed request URI). Злоумышленник может потенциально повторно использовать URI запроса для получения нескольких кодов авторизации от имени пользователя, который уже выполнил вход в систему, что нарушает стандарты безопасности, такие как FAPI-2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.