CVE-2026-18569
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
W komponencie keycloak-services (część Red Hat Build of Keycloak) wykryto błąd w endpointcie wylogowania backchannel. Gdy dostawca tożsamości OIDC jest skonfigurowany do pomijania weryfikacji podpisu, system błędnie akceptuje żądania wylogowania bez podpisu kryptograficznego. Atakujący znający szczegóły sesji użytkownika może wymusić jego wylogowanie.
Ocena ryzyka
Atakujący może zakłócać pracę użytkowników, wymuszając ich wylogowanie, co może prowadzić do przerw w pracy i potencjalnej utraty danych w trakcie sesji.
Rekomendacja
Zaleca się skonfigurowanie dostawcy OIDC tak, aby nie pomijał weryfikacji podpisu, oraz zastosowanie odpowiednich poprawek od producenta.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in the backchannel logout endpoint of the keycloak-services component, which is part of the Red Hat Build of Keycloak. This component handles authentication and session management for applications. The issue occurs when an OIDC identity provider is configured to skip signature validation. In this specific setup, the system incorrectly accepts logout requests that have no cryptographic signature. An attacker who knows certain technical details about a user's session can use this flaw to force that user to be logged out, potentially disrupting their work.