CVE-2026-93999

Nome do Software Vulnerável e Versões Afetadas Keycloak (versões afetadas não especificadas)

Descrição Uma falha existe na implementação do protocolo OpenID Connect (OIDC). Durante o processo de atualização de token, o servidor restaura as audiências solicitadas a partir de IDs de clientes armazenados, mas falha ao verificar se o cliente de audiência alvo ainda está habilitado antes de emitir um novo token de acesso. Isso permite que um aplicativo com um token de atualização obtenha tokens de acesso válidos para um cliente desabilitado, podendo ignorar controles de acesso administrativos para servidores de recursos que utilizam a validação offline de JSON Web Token (JWT)—um método onde o servidor valida o token localmente sem contatar o provedor de identidade.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.