CVE-2026-96446

Nome do Software Vulnerável e Versões Afetadas Keycloak (versões afetadas não especificadas)

Descrição Uma falha foi encontrada na implementação do Pushed Authorization Request (PAR). Quando o caminho de autenticação silenciosa prompt=none é utilizado, o processo de autorização pode pular etapas específicas para usuários que já estão logados. Devido a esse bypass, a regra de segurança que garante que uma URI de solicitação pushed seja usada apenas uma vez não é aplicada. Consequentemente, um invasor poderia reutilizar uma URI de solicitação para obter múltiplos códigos de autorização para um usuário autenticado, violando os padrões de segurança FAPI-2.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.