CVE-2026-9086
Keycloak: keycloak: cross-site scripting (xss) mediante omisión de validación de URI que no distingue entre mayúsculas y minúsculas
- Publicado
- 25 jun 2026
- Actualizado
- 15 jul 2026
- Asignación de CNA
- redhat
- Evidencia observada
- 10 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:NBajo · próximos 30 días
- Percentil
- 55,0 %
- Fecha del modelo
- 15 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Se encontró una falla en Keycloak. Un atacante remoto con privilegios administrativos, específicamente aquellos con permiso `manage-client` o acceso a los endpoints de registro de clientes, podría omitir la validación del Identificador Uniforme de Recurso (URI) del cliente. Esto se logra registrando un cliente malicioso con una URI de redirección especialmente manipulada utilizando un esquema `javascript:` o `data:` que no distingue entre mayúsculas y minúsculas. Esta vulnerabilidad de Cross-Site Scripting (XSS) permite la ejecución de código arbitrario en el origen de Keycloak cuando una víctima hace clic en el enlace manipulado, como en el flujo de cierre de sesión o en la Consola de Administración.
Fuentes
Prueba de concepto de CVE-2026-9086 para la evasión de la validación de URI de cliente de Keycloak mediante payloads XSS javascript: y data: con mayúsculas y minúsculas mixtas, con verificación basada en Docker de las versiones vulnerables y corregidas.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.