CVE-2026-1486 — Katalog CVE

csirt@kutim:~/threat-intel/cve/CVE-2026-1486

CVSS 8.8 · High EPSS 0,50%

Kerentanan Improperly Implemented Security Check for Standard. Skor CVSS 3.1 8.8 (High) menurut redhat.com.

Deskripsi (NVD)

A flaw was found in Keycloak. A vulnerability exists in the jwt-authorization-grant flow where the server fails to verify if an Identity Provider (IdP) is enabled before issuing tokens. The issuer lookup mechanism (lookupIdentityProviderFromIssuer) retrieves the IdP configuration but does not filter for isEnabled=false. If an administrator disables an IdP (e.g., due to a compromise or offboarding), an entity possessing that IdP's signing key can still generate valid JWT assertions that Keycloak accepts, resulting in the issuance of valid access tokens.

Rincian

Terbit di NVD: 9 Februari 2026
Terakhir diubah: 15 Juli 2026
Status NVD: Deferred
CVSS 3.1: 8.8 (High), sumber redhat.com
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H · uraikan di kalkulator
Jenis kelemahan (CWE): CWE-358: Improperly Implemented Security Check for Standard
EPSS (30 hari): 0,50% peluang dieksploitasi; lebih tinggi dari 41,1% CVE lain

Produk dan versi terdampak

NVD belum mencantumkan data produk (CPE) untuk CVE ini. Produk yang terdampak biasanya disebut di deskripsi dan di advisory vendor pada daftar referensi.

Referensi dan perbaikan

Sumber: NVD · CVE.org · EPSS. Halaman ini disusun otomatis dari data tersebut; pembaruan terakhir 5 Okt 2026, 20:11 WITA. Kalau sistem di Perangkat Daerah memakai produk ini dan butuh bantuan, laporkan lewat kanal pelaporan.