CVE-2026-18206
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
W Keycloak, w komponencie keycloak-services, administrator domeny może użyć wildcarda (np. *.example.com) do ograniczenia rejestracji klientów. Z powodu nieprawidłowej walidacji system akceptuje dowolną nazwę hosta kończącą się na dany sufiks domeny, nawet jeśli nie jest to prawowita subdomena. Atakujący kontrolujący odwrotne DNS swojego połączenia może ominąć te ograniczenia i potencjalnie dokonać nieautoryzowanych modyfikacji klientów.
Ocena ryzyka
Ryzyko polega na możliwości ominięcia ograniczeń hosta przez atakującego, co może prowadzić do nieautoryzowanych zmian w konfiguracji klientów Keycloak, potencjalnie naruszając integralność i bezpieczeństwo zarządzania tożsamością.
Rekomendacja
Zaleca się aktualizację Keycloak do wersji zawierającej poprawkę walidacji domen wildcard oraz unikanie używania wildcardów w konfiguracjach ograniczeń hosta, jeśli to możliwe.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in the keycloak-services component of Keycloak, which provides identity and access management services. The issue occurs when a realm administrator uses a wildcard domain (like *.example.com) to restrict which hosts can register or update clients. Due to improper validation, the system accepts any hostname that ends with the specified domain suffix, even if it is not a legitimate subdomain. An attacker who can control the reverse DNS of their connection can bypass these host-based restrictions, potentially allowing unauthorized client modifications.