CVE-2026-18209
NiskieCVSS 3.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
W komponencie keycloak-services w Keycloak, sprawdzanie bezpieczeństwa zapobiegające zanieczyszczeniu parametrów HTTP sprawdza tylko część zapytania URL, ignorując fragment. Gdy klient jest skonfigurowany z wildcard URI przekierowania, atakujący może wstrzyknąć zduplikowane parametry bezpieczeństwa do odpowiedzi logowania. Jeśli aplikacja kliencka nie jest poprawnie skonfigurowana, może zaufać danym atakującego zamiast prawdziwym informacjom z Keycloak, co prowadzi do fiksacji sesji lub pomylenia kont.
Ocena ryzyka
Atakujący może przejąć sesję użytkownika lub spowodować pomylenie kont, co umożliwia nieautoryzowany dostęp do danych i funkcji.
Rekomendacja
Zaktualizuj Keycloak do wersji, która naprawia tę podatność. Upewnij się, że aplikacje klienckie są poprawnie skonfigurowane do obsługi parametrów bezpieczeństwa.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in the keycloak-services component of Keycloak, which handles OpenID Connect (OIDC) authentication flows. The issue occurs because the security check designed to prevent HTTP parameter pollution only inspects the query portion of a redirect URL and ignores the fragment portion. When a client is configured with a wildcard redirect URI, an attacker can use this to inject duplicate security parameters into the login response. If a client application is not configured correctly, it might trust the attacker's injected data instead of the real security information from Keycloak, leading to session fixation or account confusion.