CVE-2026-16103
CVE.org · Publicado
- Status do registro
- Publicado
- Ano do identificador (não é o ano de publicação)
- 2026
- Publicação na fonte
- Atualização na fonte
- Importado pelo cveboard
- Snapshot da fonte
- cve_2026-10-24_midnight_baseline ·
Texto da CNA em inglês
Keycloak-services: keycloak-services: incomplete fix for ciba brute-force lockout bypass at token redemption
A flaw was found in the keycloak-services component of Keycloak. This issue is an incomplete fix for CVE-2026-9798, where brute-force protection checks were added to the Client-Initiated Backchannel Authentication (CIBA) initiation handler but were omitted from the token redemption handler. This allows an attacker with valid client credentials to obtain access and refresh tokens for a user account that has been locked due to brute-force protection, provided the authentication request was started before the lockout occurred and was approved by the user.
Fatos de produtos e versões por escopo
Dados de correção desconhecidos; nenhuma versão corrigida é deduzida aqui. Dados ausentes não comprovam ausência de correção.
Exploração desconhecida; este catálogo não avalia exploração.
Red Hat Build of Keycloak
- Fornecedor
- Red Hat
- Produto
- Red Hat Build of Keycloak
- Plataformas
- Desconhecido
- Status padrão
affected- Pacote
- keycloak-services
- Coleção do pacote
- https://access.redhat.com/downloads/content/package-browser/
Nenhuma tupla de versão explícita; consulte o status padrão desta entrada.
Red Hat Build of Keycloak
- Fornecedor
- Red Hat
- Produto
- Red Hat Build of Keycloak
- Plataformas
- Desconhecido
- Status padrão
affected- Pacote
- rhbk-keycloak-rhel9/rhbk-keycloak-rhel9
- Coleção do pacote
- https://access.redhat.com/downloads/content/package-browser/
Nenhuma tupla de versão explícita; consulte o status padrão desta entrada.
Red Hat Build of Keycloak
- Fornecedor
- Red Hat
- Produto
- Red Hat Build of Keycloak
- Plataformas
- Desconhecido
- Status padrão
affected- Pacote
- rhbk-openshift-rhel9/rhbk-openshift-rhel9
- Coleção do pacote
- https://access.redhat.com/downloads/content/package-browser/
Nenhuma tupla de versão explícita; consulte o status padrão desta entrada.
Red Hat Data Grid 8
- Fornecedor
- Red Hat
- Produto
- Red Hat Data Grid 8
- Plataformas
- Desconhecido
- Status padrão
unaffected- Pacote
- keycloak-services
- Coleção do pacote
- https://access.redhat.com/downloads/content/package-browser/
Nenhuma tupla de versão explícita; consulte o status padrão desta entrada.
Red Hat JBoss Enterprise Application Platform Expansion Pack
- Fornecedor
- Red Hat
- Produto
- Red Hat JBoss Enterprise Application Platform Expansion Pack
- Plataformas
- Desconhecido
- Status padrão
unaffected- Pacote
- keycloak-services
- Coleção do pacote
- https://access.redhat.com/jbossnetwork/restricted/listSoftware.html
Nenhuma tupla de versão explícita; consulte o status padrão desta entrada.
Red Hat Single Sign-On 7
- Fornecedor
- Red Hat
- Produto
- Red Hat Single Sign-On 7
- Plataformas
- Desconhecido
- Status padrão
unaffected- Pacote
- keycloak-services
- Coleção do pacote
- https://access.redhat.com/downloads/content/package-browser/
Nenhuma tupla de versão explícita; consulte o status padrão desta entrada.