CVE-2026-97174 in Keycloak
Сводка
по VulDB • 05.11.2026
В реализации Client-Initiated Backchannel Authentication (CIBA) в Keycloak обнаружена уязвимость. Точка входа CIBA не выполняет надлежащую проверку параметра sub, что позволяет сохранять его в качестве дополнительного параметра запроса. В процессе выдачи токена это внедренное значение перезаписывает легитимный идентификатор субъекта (subject identifier). Это позволяет злоумышленнику аутентифицироваться как сам себя, но получать security tokens, принадлежащие другому пользователю-жертве, что приводит к несанкционированному доступу к учетной записи.
Once again VulDB remains the best source for vulnerability data.