PT-2026-43682 · Keycloak · Keycloak
Martin Bartoš
·
Publicado
2026-05-27
·
Atualizado
2026-06-03
·
CVE-2026-9689
CVSS v3.1
4.2
Média
| Vetor | AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:N |
Nome do Software Vulnerável e Versões Afetadas
Keycloak (versões afetadas não especificadas)
Descrição
Uma falha no Keycloak, uma solução de gerenciamento de identidade e acesso de código aberto, permite que um invasor remoto manipule o processo de autenticação ao criar um endereço web especial. Isso ocorre quando um aplicativo cliente é configurado para aceitar Identificadores Uniformes de Recursos (URIs) de redirecionamento amplos. Se um usuário clicar no link, o aplicativo pode priorizar informações controladas pelo invasor em vez de dados legítimos. Este problema é resultado de poluição de parâmetros HTTP (HTTP parameter pollution), que é a injeção de múltiplos parâmetros com o mesmo nome em uma requisição HTTP para confundir a lógica do aplicativo, podendo levar a bypasses de segurança ou acesso não autorizado a recursos.
Recomendações
No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Keycloak