5.4 Moyenne

CVE-2026-96460 Keycloak-services: keycloak-services: indefinite access token renewal via standard token exchange v2

Description

A flaw was found in the token exchange mechanism of Keycloak. When using Standard Token Exchange V2, the system issues new tokens with a fresh lifetime based on the requester clients configuration instead of limiting it to the original tokens expiration. This issue allows an authenticated requester to indefinitely extend access for service accounts by repeatedly exchanging tokens, even if the original client has been disabled by an administrator.

Détail CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N

Exploitable à distance par le réseau, avec un compte ordinaire et sans action d’un utilisateur ; l’impact sur les données ou le service reste limité.

Vecteur d’attaque: Réseau
Complexité: Faible
Privilèges requis: Faibles
Interaction: Aucune
Portée: Inchangée
Confidentialité: Faible
Intégrité: Faible
Disponibilité: Aucun

Produits et versions touchés

Produit	Versions touchées	Corrigé en
Red Hat Build of Keycloak	Versions non publiées
Red Hat Single Sign-On 7	Versions non publiées

Références

access.redhat.com access.redhat.com
RHBZ#2539301 bugzilla.redhat.com

Chronologie

Publiée 6 novembre 2026
Dernière modification 6 novembre 2026

Les 276 CVE de Red Hat Build of Keycloak →

CVE-2026-9797 Keycloak: keycloak: privilege escalation via client authentication manipulation by an authenticated administrator 6.5 Moyenne CVE-2026-97848 Keycloak-services: keycloak-services: protocol mapper with jsontype=json bypasses token sanitization 6.5 Moyenne CVE-2026-97367 Keycloak-services: keycloak-services: dcr azp and sid claim substitution allows account rest session takeover 6.4 Moyenne CVE-2026-96547 Keycloak-services: keycloak-services: dcr registration-time claim-path gap allows forging realm_access.roles 6.5 Moyenne

Suivre cette CVE