Безопасность1 ч30 октября 2026, 08:30

В Keycloak нашли stored XSS через обход проверки URI в другом регистре

Уязвимость CVE-2026-9086 (CVSS 7.3) в Keycloak и Red Hat build of Keycloak позволяет администраторам клиентов внедрять javascript: и data: URI в другом регистре из-за регистрозависимой проверки схем. Проблема исправлена в Keycloak 26.6.4 и Red Hat build of Keycloak 26.4.13/26.6.4, публичный PoC уже есть.

DEV Community

Открыть источник

В Keycloak нашли stored XSS через обход проверки URI в другом регистре

CVE-2026-9086: stored XSS с оценкой 7.3 по CVSS
Обход через схемы вида jaVaSCript: и DaTa: в URI клиентов
Исправлено в Keycloak 26.6.4 и Red Hat build 26.4.13/26.6.4
Опубликован публичный PoC-скрипт через Admin REST API

#Keycloak#RedHat

Ещё новости — в режиме свайпа🔥 Сейчас в свайпе: С кошельков Binance могли увести крипту на $5,8 млрд — Tether и Circle уже заморозили часть

Безопасность

В Keycloak нашли stored XSS через обход проверки URI в другом регистре

В Keycloak нашли CVE-2026-9083: обход пути в java-keystore

В TinyMCE нашли stored XSS в плагине media с рейтингом 8,5

Adobe Connect: три stored XSS-уязвимости с оценкой 9.3

CVE-2026-75939 в oc-mirror: проверка PGP-подписи выполняется до обработки сообщения