PT-2026-60351 · Red Hat · Keycloak

Publicado 2026-07-16 · Atualizado 2026-07-16 · CVE-2026-1609

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Keycloak (versões afetadas não especificadas)

Description Um problema de controle de acesso inadequado ocorre quando o recurso de visualização de concessão de autorização JSON Web Token (JWT) está habilitado. O Keycloak falha ao validar o status de conta desativada de um usuário durante o processamento de concessões de autorização JWT. Um invasor remoto com baixos privilégios pode apresentar um token de asserção válido de um provedor de identidade externo para obter um JWT de um usuário desativado, permitindo o acesso não autorizado a recursos sensíveis.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Como medida de mitigação temporária, desative o recurso de visualização de concessão de autorização JWT.

Improper Access Control

Enumeração de Fraquezas

CWE-284

Identificadores relacionados

CVE-2026-1609

Produtos afetados

Keycloak

Referências · 6

• https://github.com/keycloak/keycloak/releases/tag/26.5.3 · Nota
• https://github.com/keycloak/keycloak/issues/46144 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-1609 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/2077585257981763819 · Publicação no Twitter
• https://bugzilla.redhat.com/show_bug.cgi?id=2435257 · Nota
• https://access.redhat.com/security/cve/CVE-2026-1609 · Nota