В Keycloak нашли CVE-2026-9083: обход пути в java-keystore

Уязвимость CVE-2026-9083 (CVSS 4.9) в Keycloak позволяет администратору realm с ролью manage-realm задавать произвольные пути к файлам keystore и по разным ошибкам определять наличие файлов на сервере. Исправлено в Keycloak 26.6.4 и 26.4.13, а также в сборках Red Hat 26.6.4-2 и 26.4.13-1.

• CVSS 4.9, CWE-22: обход пути в JavaKeystoreKeyProviderFactory
• Нужны права manage-realm, утечка через разные сообщения об ошибках
• Исправлено в Keycloak 26.6.4 и 26.4.13
• В каталог CISA KEV уязвимость не внесена