Veille sécuritéBackend & données
P4Moyenne
CVE-2026-97848 concerne la validation de claims structurés dans Keycloak : un protocole mapper configuré pour émettre des claims JSON peut permettre d’injecter de faux rôles client dans les jetons. Cela peut donner accès à des ressources protégées ; la source fournie ne précise ni versions affectées ni correctif.
Java
IdentifiantCVE-2026-97848
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-97848
Analyse technique
Le contrôle de sécurité ne reconnaît pas les objets JSON fondés sur Jackson et ne supprime donc pas certaines associations de rôles non autorisées.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-06, dans la période demandée ; l’événement retenu est la publication de la vulnérabilité, et non sa modification ultérieure de fiche.
ImpactInjection de rôles client dans des jetons et accès potentiellement non autorisé à des ressources protégées.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.5
EPSS0,25% · percentile 17,1%
Publication2026-11-06T06:16:45.540Z
Mise à jour2026-11-06T18:18:28.537Z
Action recommandée
Évaluer les configurations de protocol mapper émettant des claims JSON et appliquer un correctif éditeur dès qu’il est disponible.
Sources
Priorisation DFS : P4 · 1 source(s).