PT-2026-3555
CVE-2026-1180
·
تاريخ النشر
2026-01-20
·
تاريخ التحديث
2026-03-01
الوصف من
CVSS 3.1
5.8
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:L/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Keycloak (الإصدارات المتأثرة غير محددة)
الوصف
يوجد عيب في ميزة التسجيل الديناميكي للعملاء (Dynamic Client Registration) الخاصة بـ OpenID Connect في Keycloak عندما يقوم العملاء بالمصادقة باستخدام private key jwt. تسمح هذه المشكلة للعميل بتحديد
jwks uri تعسفي، والذي يسترده Keycloak دون التحقق من صحة الوجهة. وهذا يسمح للمهاجمين بحث خادم Keycloak على إرسال طلبات HTTP إلى موارد شبكة داخلية أو مقيدة. ونتيجة لذلك، يمكن للمهاجمين استكشاف الخدمات الداخلية ونقاط نهاية بيانات التعريف السحابية، مما يشكل خطرًا يتعلق بتسريب المعلومات والتعرف على الهوية.التوصيات
في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾