Aller au contenu
Se connecter
5.5 Moyenne

CVE-2026-15943 Keycloak-services: keycloak-services: oidc idp update reuses masked client secret after token url change

Description

A flaw was found in the Keycloak keycloak-services component, which handles the management of identity providers. The issue occurs when a delegated administrator updates an OIDC identity provider using a masked client secret sentinel value. Due to improper validation, Keycloak reuses the existing real secret even if security-sensitive fields like the token URL have been changed, allowing an attacker to redirect and capture the secret.

Détail CVSS 3.1

Vecteur CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:L/A:N

Exploitable à distance par le réseau, avec un compte administrateur et sans action d’un utilisateur ; un attaquant peut compromettre gravement la confidentialité, l’intégrité ou la disponibilité.

Vecteur d’attaque
Réseau
Complexité
Faible
Privilèges requis
Élevés
Interaction
Aucune
Portée
Inchangée
Confidentialité
Élevé
Intégrité
Faible
Disponibilité
Aucun

Produits et versions touchés

Produit Versions touchées Corrigé en
Red Hat Build of Keycloak Versions non publiées
Red Hat Data Grid 8 Versions non publiées
Red Hat JBoss Enterprise Application Platform Expansion Pack Versions non publiées
Red Hat Single Sign-On 7 Versions non publiées
Red Hat build of Keycloak 26.6.8 Versions non publiées
Red Hat build of Keycloak 26.6 26.6 premières → < 26.6-24 26.6-24

Autres CVE de Red Hat Build of Keycloak

Les 277 CVE de Red Hat Build of Keycloak →
CVE-2026-120984 Keycloak-services: keycloak-services: manage-clients to arbitrary code execution through inline javascript policy import 9.1 Critique CVE-2026-9797 Keycloak: keycloak: privilege escalation via client authentication manipulation by an authenticated administrator 6.5 Moyenne CVE-2026-97848 Keycloak-services: keycloak-services: protocol mapper with jsontype=json bypasses token sanitization 6.5 Moyenne CVE-2026-97367 Keycloak-services: keycloak-services: dcr azp and sid claim substitution allows account rest session takeover 6.4 Moyenne
Suivre cette CVE