Veille sécuritéFrontend
P3Élevée
Keycloak est vulnérable à une XSS lorsque la validation d’URI de redirection peut être contournée avec un schéma javascript: ou data: dont la casse est spécialement choisie. L’exploitation décrite requiert des privilèges d’administration, notamment manage-client, ou un accès aux points de terminaison d’enregistrement de clients, et peut conduire à l’exécution de code dans l’origine Keycloak lorsqu’une victime suit le lien forgé.
JavaScript
IdentifiantCVE-2026-9086
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif26.6.4
Analyse technique
Le contournement concerne la validation d’URI de redirection insensible à la casse.
Impact, versions et correctif
Événement datéL’avis GitHub indique une publication le 2026-10-29T16:39:03Z, dans la période demandée; la version corrigée mentionnée est 26.6.4.
ImpactExécution de code dans l’origine Keycloak lorsqu’un utilisateur suit un lien forgé.
Versions affectées< 26.6.4
Version corrigée26.6.4
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.3
EPSS0,78% · percentile 55,9%
Publication2026-10-29T16:39:03Z
Mise à jour2026-10-29T16:39:04Z
Action recommandée
Mettre à niveau Keycloak vers la version 26.6.4 ou ultérieure corrigée.
Sources
Priorisation DFS : P3 · 1 source(s).