CVE-2026-7571
WysokieCVSS 7.1Streszczenie
W Keycloak znaleziono lukę, która pozwala użytkownikowi o niskich uprawnieniach, znającemu dane logowania i identyfikator klienta, na obejście zabezpieczenia mającego na celu wyłączenie domyślnego przepływu w klientach OpenID Connect (OIDC). Manipulując danymi klienta podczas ponownego uruchamiania sesji, atakujący może uzyskać dostęp do tokena, który nie powinien być dostępny.
Ocena ryzyka
Ta podatność może prowadzić do ujawnienia tokenów dostępu w logach serwera, logach proxy oraz nagłówkach HTTP Referrer, co skutkuje ujawnieniem wrażliwych informacji. Organizacje mogą być narażone na nieautoryzowany dostęp do danych użytkowników.
Rekomendacja
Zaleca się aktualizację Keycloak do najnowszej wersji, aby załatać tę lukę oraz przegląd logów w celu identyfikacji potencjalnych incydentów związanych z ujawnieniem tokenów.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in Keycloak. A low-privilege user, with knowledge of user credentials and client ID, can bypass a security control intended to disable the implicit flow in OpenID Connect (OIDC) clients. By manipulating client data during a session restart, an attacker can obtain an access token that should not be available. This vulnerability can also lead to the exposure of these access tokens in server logs, proxy logs, and HTTP Referrer headers, resulting in sensitive information disclosure.