PT-2026-41881 · Red Hat · Keycloak

Evan Hendra · Publicado 2026-05-19 · Atualizado 2026-06-03 · CVE-2026-7571

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Keycloak (versões afetadas não especificadas)

Descrição Um controle de segurança destinado a desativar o fluxo implícito em clientes OpenID Connect (OIDC) pode ser burlado. Um usuário de baixo privilégio com conhecimento de credenciais de usuário e ID do cliente pode manipular dados do cliente durante a reinicialização de uma sessão para obter um token de acesso não autorizado. Esse processo pode levar à exposição de tokens de acesso em logs do servidor, logs de proxy e cabeçalhos HTTP Referrer, resultando na divulgação de informações sensíveis.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Enumeração de Fraquezas

CWE-472

Identificadores relacionados

CVE-2026-7571

GHSA-HQ3P-W4XV-X7VP

Produtos afetados

Keycloak

Referências · 12

• https://github.com/keycloak/keycloak/commit/56bbfa3d8abccf39df787ae73e044a75aba1da13 · Nota
• https://github.com/keycloak/keycloak · Nota
• https://github.com/keycloak/keycloak/releases/tag/26.6.2 · Nota
• https://github.com/keycloak/keycloak/issues/49110 · Nota
• https://github.com/keycloak/keycloak/pull/49120 · Nota
• https://twitter.com/dailycve/status/2062316586288009595 · Publicação no Twitter
• https://access.redhat.com/security/cve/CVE-2026-7571 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-7571 · Nota de Segurança
• https://bugzilla.redhat.com/show_bug.cgi?id=2464263 · Aviso do Fabricante
• https://access.redhat.com/errata/RHSA-2026:19597 · Aviso do Fabricante
• https://access.redhat.com/errata/RHSA-2026:19596 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-hq3p-w4xv-x7vp · Aviso do Fabricante