Keycloak : blocage de comptes sous charge concurrente avec MySQL/MariaDB

Veille sécuritéBackend & données

P4Moyenne

Keycloak en configuration multi-nœuds avec base MySQL ou MariaDB peut entrer dans une boucle répétitive lorsqu’il traite simultanément plusieurs échecs de connexion pour un même compte. Le dossier de l’utilisateur peut alors rester verrouillé en base, bloquant des connexions légitimes et affectant l’exactitude de la protection contre les attaques par force brute.

IdentifiantCVE-2026-112201

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-112201

Analyse technique

Le défaut est décrit dans le stockage des échecs de connexion lors d’accès concurrents au même compte en déploiement multi-nœuds. Les versions affectées et correctives ne sont pas établies par les éléments vérifiés ici.

Impact, versions et correctif

Événement datéPublication NVD horodatée le 2026-11-11T13:17:13.863Z, dans la période demandée. La mise à jour NVD du 2026-11-12 est postérieure à la fenêtre.

ImpactDes utilisateurs légitimes peuvent ne plus pouvoir se connecter ; certains échecs peuvent aussi ne pas être correctement comptabilisés par la protection anti-force brute.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS4.8

Publication2026-11-11T13:17:13.863Z

Action recommandée

Vérifier si le déploiement est multi-nœuds avec MySQL/MariaDB et suivre les avis Keycloak pour appliquer le correctif correspondant.

Sources

NVD — CVE-2026-112201

Priorisation DFS : P4 · 1 source(s).