CVSS 3.1
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Атакува се
Време до експлоатация
Атакува се по мрежата, при специфични условия, без вход и след действие от потребителя.
- Експлоатация: няма данни за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
A flaw was found in the keycloak-services component of Keycloak, which handles OpenID Connect (OIDC) authentication flows. The issue occurs because the security check designed to prevent HTTP parameter pollution only inspects the query portion of a redirect URL and ignores the fragment portion. When a client is configured with a wildcard redirect URI, an attacker can use this to inject duplicate security parameters into the login response. If a client application is not configured correctly, it might trust the attacker's injected data instead of the real security information from Keycloak, leading to session fixation or account confusion.
Засегнати продукти
- Red Hat Red Hat build of Keycloak 26.6: от 26.6.7-3 нататък
- Red Hat Red Hat build of Keycloak 26.6: от 26.6-20 нататък
- Red Hat Red Hat build of Keycloak 26.6: от 26.6-20 нататък
- Red Hat Red Hat build of Keycloak 26.6.7
- Red Hat Red Hat build of Keycloak 26.6.7
- Red Hat Red Hat build of Keycloak 26.6.7
- Red Hat Red Hat Data Grid 8
- Red Hat Red Hat JBoss Enterprise Application Platform Expansion Pack
- Red Hat Red Hat Single Sign-On 7
Вид слабост
История
- 31 юли 2026 Публикувано