8.0 Élevée

CVE-2026-96453 Org.keycloak/keycloak-admin-cli: keycloak-admin-cli: kcadm custom truststore accepts arbitrary self-signed certificates

Description

A flaw was found in the Keycloak Admin CLI kcadm tool, which is used by administrators to manage Keycloak servers from the command line. When a custom truststore is provided to verify the server identity, the tool incorrectly accepts any self-signed certificate as long as the hostname matches. This allows a network attacker to impersonate the Keycloak server, steal administrative credentials, and perform unauthorized management actions.

Détail CVSS 3.1

CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:N

Exploitable à distance par le réseau, sans compte et si un utilisateur effectue une action ; un attaquant peut compromettre gravement la confidentialité, l’intégrité ou la disponibilité.

Vecteur d’attaque: Réseau
Complexité: Élevée
Privilèges requis: Aucun
Interaction: Requise
Portée: Modifiée
Confidentialité: Élevé
Intégrité: Élevé
Disponibilité: Aucun

Produits et versions touchés

Produit	Versions touchées	Corrigé en
Red Hat AMQ Broker 7	Versions non publiées
Red Hat Build of Keycloak	Versions non publiées
Red Hat Fuse 7	Versions non publiées
Red Hat JBoss Enterprise Application Platform 7	Versions non publiées
Red Hat JBoss Enterprise Application Platform 8	Versions non publiées
Red Hat JBoss Enterprise Application Platform Expansion Pack	Versions non publiées
Red Hat Satellite 6	Versions non publiées
Red Hat Single Sign-On 7	Versions non publiées

Références

access.redhat.com access.redhat.com
RHBZ#2539294 bugzilla.redhat.com

Chronologie

Publiée 5 novembre 2026
Dernière modification 5 novembre 2026

Les 88 CVE de Red Hat AMQ Broker 7 →

CVE-2026-93998 Keycloak-core: keycloak-core: saml adapter does not bind signed assertions to the configured identity provider issuer 7.4 Élevée CVE-2026-101292 Apache ActiveMQ Artemis before 2.34.0 contains an unsafe reflection vulnerability in… 8.2 Élevée CVE-2026-93562 A flaw was found in Netty's HTTP/1 decoder 6.5 Moyenne CVE-2026-93574 A flaw was found in Netty's `netty-codec-http` component 6.5 Moyenne

Suivre cette CVE