Keycloak : une faille permet à un gestionnaire de clients d’exécuter du code
Le 7 novembre 2026, Red Hat a publié la fiche CVE-2026-120984, concernant la gestion des clients dans Keycloak. Ce logiciel contrôle l’authentification et les autorisations d’applications. Un utilisateur déjà authentifié, disposant de droits élevés de gestion des clients, peut contourner une restriction sur les politiques JavaScript et provoquer l’exécution de code sur le serveur.
L’enjeu dépasse le seul compte compromis : selon Red Hat, le défaut peut rompre l’isolation entre espaces d’administration et menacer les autres environnements hébergés. Le score CVSS 3.1 est de 9,1 sur 10, mais l’éditeur classe l’impact comme « important », plutôt que critique, précisément parce que des privilèges administratifs délégués sont nécessaires. Il ne s’agit donc pas d’une attaque accessible à n’importe quel visiteur anonyme.
La fiche CVE désigne Red Hat Build of Keycloak et Red Hat Single Sign-On 7 comme affectés, sans préciser de bornes de versions. Au contrôle du 8 novembre, les sources consultées ne fournissent pas de version corrigée ni de mesure d’atténuation validée par Red Hat. Elles ne documentent pas non plus d’exploitation réelle. Les responsables concernés doivent suivre l’avis éditeur et examiner avec attention les délégations de gestion des clients, sans considérer cette précaution comme un correctif.
Sources :
