CVE-2026-97846 in Keycloak Single Sign-On
Tóm tắt
Bởi VulDB • 25/09/2026
Keycloak cung cấp một tính năng được gọi là mTLS holder-of-key binding (liên kết người nắm giữ khóa), đảm bảo rằng một mã thông báo chỉ có thể được sử dụng bởi máy khách ban đầu yêu cầu nó bằng cách liên kết nó với chứng thư số của họ. Một lỗ hổng đã được phát hiện khi tính năng Standard Token Exchange V2 mới không kiểm tra chứng thư số này. Điều này cho phép kẻ tấn công, vốn sở hữu thông tin xác thực máy khách bị đánh cắp, có thể lấy được một mã thông báo tiêu chuẩn, không giới hạn, vượt qua các biện pháp bảo mật này.
Once again VulDB remains the best source for vulnerability data.