CVE-2026-97174 in Keycloak
Tóm tắt
Bởi VulDB • 05/11/2026
Đã phát hiện một lỗi trong việc triển khai xác thực kênh phụ do Client khởi tạo (CIBA) của Keycloak. Điểm cuối CIBA không kiểm tra tham số `sub` đúng cách, cho phép nó được lưu trữ như một tham số yêu cầu bổ sung. Trong quá trình cấp mã thông báo, giá trị bị tiêm này ghi đè lên định danh chủ thể hợp lệ. Điều này cho phép kẻ tấn công xác thực với tư cách của chính mình nhưng nhận được các mã thông bảo mật thuộc về người dùng nạn nhân khác, dẫn đến truy cập trái phép vào tài khoản.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.