CVE-2026-0976
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
W Keycloak znaleziono wadę związaną z nieprawidłową walidacją danych wejściowych. Keycloak akceptuje zgodne z RFC parametry macierzowe w segmentach ścieżek URL, podczas gdy typowe konfiguracje reverse proxy mogą je ignorować lub błędnie obsługiwać. Zdalny atakujący może tworzyć żądania maskujące segmenty ścieżek, potencjalnie omijając filtrowanie ścieżek na poziomie proxy. Może to ujawnić administracyjne lub wrażliwe punkty końcowe, które operatorzy uważają za nieosiągalne z zewnątrz.
Ocena ryzyka
Atakujący może ominąć zabezpieczenia proxy i uzyskać dostęp do wrażliwych punktów końcowych, co może prowadzić do nieautoryzowanego dostępu do zasobów administracyjnych.
Rekomendacja
Zaktualizuj Keycloak do wersji z poprawką. Skonfiguruj reverse proxy tak, aby odrzucało parametry macierzowe lub odpowiednio je normalizowało.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in Keycloak. This improper input validation vulnerability occurs because Keycloak accepts RFC-compliant matrix parameters in URL path segments, while common reverse proxy configurations may ignore or mishandle them. A remote attacker can craft requests to mask path segments, potentially bypassing proxy-level path filtering. This could expose administrative or sensitive endpoints that operators believe are not externally reachable.