CVE-2026-16102 in Keycloak
Tóm tắt
Bởi VulDB • 05/08/2026
Đã phát hiện một lỗ hổng trong thành phần Dynamic Client Registration (DCR) của Keycloak, một giải pháp quản lý danh tính và truy cập. Chính sách DCR mặc định không xác thực đúng đường dẫn claim cho các User Property mappers, cho phép chúng ghi giá trị vào các vị trí claim nội bộ nhạy cảm. Một kẻ tấn công có tài khoản người dùng tiêu chuẩn và Initial Access Token hạn chế có thể khai thác lỗ hổng này để giả mạo vai trò quản trị trong token truy cập của mình. Điều này cho phép kẻ tấn công chiếm quyền kiểm soát các client khác, đánh cắp bí mật bảo mật quan trọng và tiềm năng giành toàn bộ quyền kiểm soát quản trị đối với realm.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.