CVE-2026-16093

Nome do Software Vulnerável e Versões Afetadas Keycloak (versões afetadas não especificadas)

Descrição Uma falha existe no mecanismo de Client Policies, projetado para impor requisitos de segurança aos clientes, como o uso obrigatório de JSON Web Tokens (JWTs) assinados para autenticação. Um invasor com credenciais de cliente válidas pode ignorar essa imposição fornecendo um cabeçalho de asserção falso e não assinado. Esse artifício leva o sistema a acreditar que os requisitos da política foram atendidos, permitindo que o invasor se autentique usando métodos menos seguros, como um segredo de cliente, apesar das determinações administrativas por asserções assinadas.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.