CVE-2026-16089
Publiée le 2026-07-17 · Dernière modification le 2026-09-16
Le Red Hat Build de Keycloak est affecté par une faille dans sa gestion des codes d'autorisation OAuth 2.0. Un attaquant qui intercepte un code peut le modifier pour obtenir des jetons d'accès liés à l'identité d'une victime, lui octroyant ainsi un accès non autorisé au compte de celle-ci. L'exécution de cette attaque est difficile, car elle nécessite un accès au réseau, un compte d'attaquant authentifié et l'interaction de la victime avec un lien malveillant.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A flaw was found in the keycloak-services component of Red Hat Build of Keycloak. The issue occurs because OAuth 2.0 authorization codes are not properly bound to the client that originally requested them. An attacker who can intercept an authorization code can modify it to be redeemed by their own client, potentially allowing them to obtain access tokens for a victim's identity.