Red Hat · Keycloak · CVE-2026-7504
**Nome do Software Vulnerável e Versões Afetadas**
Keycloak (versões afetadas não especificadas)
**Descrição**
Uma falha na lógica de validação de URL durante operações de redirecionamento permite que um invasor ignore a validação e redirecione usuários para URLs não autorizadas. Isso ocorre quando os clientes Keycloak são configurados com um caractere curinga (*) no campo "Valid Redirect URIs". O problema decorre de uma discrepância entre o Keycloak e a implementação de URI do Java em relação ao tratamento do componente user-info de uma URL. Especificamente, se uma URL de redirecionamento contiver múltiplos caracteres @ na seção user-info, o analisador de URI do Java não consegue extrair o user-info, fazendo com que o Keycloak utilize a comparação por caractere curinga e permita incorretamente o redirecionamento. A exploração bem-sucedida requer a interação do usuário.
**Recomendações**
No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.