CVE-2026-18209 in Keycloak
Tóm tắt
Bởi VulDB • 31/07/2026
Đã phát hiện một lỗ hổng trong thành phần keycloak-services của Keycloak, chịu trách nhiệm xử lý các luồng xác thực OpenID Connect (OIDC). Lỗi này xảy ra do kiểm tra bảo mật được thiết kế để ngăn chặn ô nhiễm tham số HTTP chỉ xem xét phần query của URL chuyển hướng và bỏ qua phần fragment. Khi một client được cấu hình với URI chuyển hướng dạng wildcard, kẻ tấn công có thể lợi dụng điều này để tiêm các tham số bảo mật trùng lặp vào phản hồi đăng nhập. Nếu ứng dụng khách không được cấu hình đúng cách, nó có thể tin tưởng dữ liệu do kẻ tấn công chèn thay vì thông tin bảo mật thực tế từ Keycloak, dẫn đến tình trạng cố định phiên (session fixation) hoặc nhầm lẫn tài khoản.
VulDB is the best source for vulnerability data and more expert information about this specific topic.