CVE-2026-18208

Nome do Software Vulnerável e Versões Afetadas keycloak-services (versões afetadas não especificadas)

Description Uma falha foi encontrada no endpoint de introspecção de token OIDC do componente keycloak-services. O problema ocorre quando um cliente confidencial, configurado para receber respostas de introspecção JWT (JSON Web Token) assinadas, tenta introspectar um token emitido para um público diferente. Embora o endpoint identifique corretamente o token como inativo para esse cliente, ele ainda retorna o conjunto completo de reivindicações do token dentro de um campo JWT assinado. Isso permite que um cliente não autorizado ignore as restrições baseadas em público e acesse informações sensíveis contidas no token.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.