WID-SEC-2026-0152 — Keycloak (OIDC Dynamic Client Registration): Schwachstelle ermöglicht Manipulation von Dateien

Summary

Ein entfernter, anonymer Angreifer kann eine Schwachstelle in Keycloak ausnutzen, um Dateien zu manipulieren und vertrauliche Informationen offenzulegen.

Product

Keycloak ermöglicht Single Sign-On mit Identity and Access Management für moderne Anwendungen und Dienste.

Vulnerabilities 1

Medium 5.8

CVE-2026-1180

Org.keycloak.protocol.oidc: blind server-side request forgery (ssrf) in keycloak oidc dynamic client registration via jwks_uri

A flaw was identified in Keycloak’s OpenID Connect Dynamic Client Registration feature when clients authenticate using private_key_jwt. The issue allows a client to specify an arbitrary jwks_uri, which Keycloak then retrieves without validating the destinatio…

Red Hat Red Hat Single Sign-On 7 Red Hat JBoss Enterprise Application Platform Expansion Pack Red Hat build of Keycloak 26.4 Maven

Jan 20, 2026

Revision history

2026-04-06 #3
Neue Updates von Red Hat aufgenommen
2026-03-18 #2
Neue Updates aufgenommen
2026-01-19 #1
Initiale Fassung

References

Red Hat Bugtracker vom 2026-01-19
https://bugzilla.redhat.com/show_bug.cgi?id=2430781
Keycloak 26.5.6 release notes vom 2026-03-19
https://www.keycloak.org/2026/03/keycloak-2656-released
Red Hat Security Advisory RHSA-2026:6477 vom 2026-04-02
https://access.redhat.com/errata/RHSA-2026:6477
Red Hat Security Advisory RHSA-2026:6478 vom 2026-04-02
https://access.redhat.com/errata/RHSA-2026:6478