CVE-2026-16102

Nome do Software Vulnerável e Versões Afetadas Keycloak (versões afetadas não especificadas)

Descrição Uma falha foi encontrada no componente Dynamic Client Registration (DCR) do Keycloak. A política padrão do DCR não valida adequadamente o caminho da reivindicação (claim path) para mapeadores de Propriedade do Usuário, permitindo a gravação de valores em locais de reivindicação internos sensíveis. Um invasor com uma conta de usuário padrão e um Initial Access Token limitado pode explorar isso para forjar funções administrativas em seu token de acesso. Isso permite que o invasor assuma o controle de outros clientes, roube segredos confidenciais e, potencialmente, obtenha controle administrativo total sobre o realm.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.