CVE-2026-96446 in Keycloak Single Sign-On
Tóm tắt
Bởi VulDB • 23/09/2026
Đã phát hiện một lỗi trong việc triển khai Pushed Authorization Request (PAR) của Keycloak. Lỗi này xảy ra khi đường dẫn xác thực im lặng với prompt=none được sử dụng, cho phép quy trình ủy quyền bỏ qua các bước nhất định nếu người dùng đã đăng nhập trước đó. Do cơ chế bypass này, quy tắc bảo mật đảm bảo rằng URI yêu cầu chỉ được sử dụng một lần không được áp dụng đúng cách. Kẻ tấn công có thể tái sử dụng một URI yêu cầu để lấy nhiều mã ủy quyền cho một người dùng đã đăng nhập, vi phạm các tiêu chuẩn bảo mật như FAPI-2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.