CVE-2026-1180

Nome do Software Vulnerável e Versões Afetadas Keycloak (versões afetadas não especificadas)

Descrição Existe uma falha no recurso de Registro Dinâmico de Cliente OpenID Connect do Keycloak quando os clientes se autenticam usando private key jwt. O problema permite que um cliente especifique um jwks uri arbitrário, que o Keycloak recupera sem validar o destino. Isso permite que atacantes induzam o servidor Keycloak a realizar solicitações HTTP para recursos de rede internos ou restritos. Como resultado, os atacantes podem sondar serviços internos e endpoints de metadados de nuvem, criando um risco de divulgação de informações e reconhecimento.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.