CVE-2026-120984
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.1
- EPSS
- —
- CWE
- CWE-94
- KEV Durumu
- Hayır
Yayım tarihi: 7 Kasım 2026
Keycloak sunucusunun istemci yönetim bileşeninde bir zayıflık bulundu. İstemci, yetkilendirme hizmetleri etkinleştirilerek oluşturulduğunda veya ithal edildiğinde, sistem kurulum过程i sırasında kullanılan dahili bir oturum özniteliğini düzgün bir şekilde temizlemekte başarısız oluyor. Bu, yetkili bir saldırganın, istemci yönetim izinlerine sahip olarak güvenlik kontrollerini atlatmasına ve sunucuda bir yetkilendirme isteği yapıldığında yürütülen kötü amaçlı bir JavaScript ilkesi yüklemesine olanak tanır. Başarılı bir şekilde sömürülmesi, saldırganın sunucuda keyfi kod çalıştırmasına ve potansiyel olarak tüm sistemi tehlikeye atmasına izin verebilir.
Orijinal açıklama (İngilizce)
A flaw was found in the Keycloak server's client management component. When a client is created or imported with authorization services enabled, the system fails to properly clear an internal session attribute used during the setup process. This allows an authenticated attacker with client management permissions to bypass security controls and upload a malicious JavaScript policy, which is then executed on the server when an authorization request is made. Successful exploitation could allow the attacker to run arbitrary code on the server, potentially compromising the entire system.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.