CVE-2026-18209

Nome do Software Vulnerável e Versões Afetadas Keycloak (versões afetadas não especificadas)

Descrição Uma falha foi encontrada no componente keycloak-services do Keycloak relacionada aos fluxos de autenticação OpenID Connect (OIDC). A verificação de segurança projetada para evitar a poluição de parâmetros HTTP (HTTP parameter pollution)—uma técnica onde múltiplos parâmetros com o mesmo nome são enviados para confundir o servidor—inspeciona apenas a parte da consulta (query) de uma URL de redirecionamento e ignora a parte do fragmento. Quando um cliente é configurado com uma URI de redirecionamento curinga (wildcard), um invasor pode injetar parâmetros de segurança duplicados na resposta de login. Isso pode levar à fixação de sessão ou confusão de conta se a aplicação cliente confiar nos dados injetados em vez das informações de segurança reais do Keycloak.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.