Keycloak présente une faille dans la gestion des clients qui peut permettre à un utilisateur authentifié disposant de droits de gestion de client de contourner des contrôles et de téléverser une politique JavaScript malveillante. Cette politique peut ensuite s’exécuter côté serveur lors d’une requête d’autorisation et entraîner une exécution de code arbitraire ; les versions affectées et le correctif ne sont pas précisés dans les éléments fournis.
Source : NVD — CVE-2026-120984
Analyse technique
Lors de la création ou de l’importation d’un client avec les services d’autorisation activés, un attribut de session interne n’est pas correctement réinitialisé, ce qui rend possible le téléversement d’une politique JavaScript malveillante.
Impact, versions et correctif
Action recommandée
Appliquer les mises à jour de sécurité Keycloak dès qu’elles sont disponibles et restreindre les permissions de gestion des clients.
Sources
Priorisation DFS : P3 · 1 source(s).