یک نقص امنیتی در پیاده‌سازی Pushed Authorization Request (PAR) در نرم‌افزار Keycloak شناسایی شده است که با شناسه CVE-2026-96446 ثبت شده است.
جزئیات فنی آسیب‌پذیری
این مشکل زمانی رخ می‌دهد که از مسیر احراز هویت خاموش (Silent Authentication) با پارامتر prompt=none استفاده شود. در این حالت، اگر کاربر از پیش وارد سیستم شده باشد، فرآیند مجوزدهی (Authorization) برخی از مراحل را نادیده می‌گیرد.
به دلیل این Bypass، قانون امنیتی که تضمین می‌کند هر Request URI در درخواست‌های Pushed تنها یک‌بار مورد استفاده قرار گیرد، اجرا نمی‌شود. در نتیجه، یک مهاجم می‌تواند با استفاده مجدد از یک Request URI، چندین Authorization Code برای کاربری که در حال حاضر وارد سیستم شده است، دریافت کند.
تاثیرات امنیتی
- نقض امنیت: این نقص منجر به نقض قوانین امنیتی مربوط به تک‌بار مصرف بودن درخواست‌های PAR می‌شود.
- سطح دسترسی: مهاجم می‌تواند از این طریق کدهای مجوز متعددی را استخراج کرده و پتانسیل دسترسی غیرمجاز به منابع کاربر را افزایش دهد.
