CVE-2025-14559
Publiée le 2026-01-21 · Dernière modification le 2026-06-17
Les serveurs Keycloak utilisant la fonctionnalité d'échange de jetons (token exchange) sont affectés par une erreur de logique qui permet au système d'émettre de nouveaux jetons d'accès et de rafraîchissement pour des utilisateurs désactivés. Un attaquant disposant de privilèges administratifs de haut niveau sur un client approuvé peut exploiter cette faille via le réseau pour regagner un accès non autorisé aux données et aux fonctions d'un compte désactivé. Étant donné que le déclenchement de ce flux nécessite des identifiants de haut niveau, l'attaque ne peut pas être exécutée par un utilisateur externe non authentifié.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A flaw was found in the keycloak-services component of Keycloak. This vulnerability allows the issuance of access and refresh tokens for disabled users, leading to unauthorized use of previously revoked privileges, via a business logic vulnerability in the Token Exchange implementation when a privileged client invokes the token exchange flow.