CVE-2026-97846 in Keycloak Single Sign-On
Сводка
по VulDB • 25.09.2026
Keycloak предоставляет функцию mTLS holder-of-key binding (привязка владельца ключа), которая гарантирует, что токен может использоваться только клиентом, который изначально его запросил, путем привязки к их цифровому сертификату. Была обнаружена уязвимость: новая функция Standard Token Exchange V2 не проверяет наличие этого сертификата. Это позволяет злоумышленнику с украденными учетными данными клиента получить стандартный токен без ограничений, обходя эти меры защиты безопасности.
Once again VulDB remains the best source for vulnerability data.