CVE-2026-117627

Mở trang đầy đủ

CVSS 5.4 MEDIUM Truy cập trái phép

Keycloak-services: keycloak-services: jwt authorization grant bypasses identity provider login restrictions

Công bố
Cập nhật
Lần đầu thấy
Nguồn
NVD, CVE.org

Mô tả

A flaw was found in the JWT Authorization Grant implementation of the keycloak-services component. When an OIDC or Google identity provider is configured with specific login restrictions, such as claim filtering, these checks are correctly applied during standard browser logins but are skipped during the JWT-based grant flow. This allows an authenticated client to obtain access tokens for a user even if their identity provider claims should have blocked the login.

Điểm và phân loại

CVSS
5.4 MEDIUM v3.1
Nguồn điểm
NVD
Mức độ (theo nguồn)
MEDIUM
EPSS
—
CWE
CWE-862

Vector CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N

Ảnh hưởng

Sản phẩm

  • Red Hat Red Hat Build of Keycloak
  • Red Hat Red Hat Single Sign-On 7

Vì sao bị lọc

  • CVSS 5.4 < 8.0 và không thuộc CISA KEV

Loại tác động

Truy cập trái phép
CWE-862

Dữ liệu riêng của nguồn

CVE.org · Đơn vị cấp mã
redhat

Tham khảo