Iniciar sesión
Deutsch English Español Polski
Media

Keycloak has Incorrect Behavior Order: Authorization Before Parsing and Canonicalization

  • Publicada: 08.01.2026
  • Actualizado: 11.10.2026 12:22

A flaw was found in Keycloak. The Keycloak Authorization header parser is overly permissive regarding the formatting of the "Bearer" authentication scheme. It accepts non-standard characters (such as tabs) as separators and tolerates case variations that deviate from RFC 6750 specifications.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Java / Kotlin (Maven) org.keycloak:keycloak-parent <= 26.5.0 sin corrección

Referencias

Puntuación CVSS 5.3/10
Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
Debilidad (CWE)
CWE-551
Plataforma
Java / Kotlin (Maven)
Paquete
org.keycloak:keycloak-parent
Publicada
08.01.2026
Actualizado
11.10.2026 12:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-gv94-wp4h-vv8p - CC BY 4.0

Historial de vulnerabilidades: org.keycloak:keycloak-parent

Todas las vulnerabilidades publicadas de este paquete (Java / Kotlin (Maven)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (26) en el archivo
Entradas en total
26
Primera → última
05.2021 02.2026
Sin corrección
6
Explotada en ataques
0

Distribución por gravedad

  • Crítica 2
  • Alta 12
  • Media 10
  • Baja 2

Divulgaciones por año

Gravedad:
  1. Keycloak has Incorrect Behavior Order: Authorization Before Parsing and Canonicalization esta entrada
    Media · 5.3 CVE-2026-0707 <= 26.5.0 sin corrección
  2. Keycloak Cross-site Scripting on OpenID connect login service
    Alta · 8.1 CVE-2022-4137 < 20.0.5 20.0.5
  3. Keycloak vulnerable to path traversal via double URL encoding
    Crítica · 9.1 CVE-2022-3782 < 20.0.2 20.0.2
  4. Keycloak SAML javascript protocol mapper: Uploading of scripts through admin console
    Alta · 7.2 CVE-2022-2668 < 19.0.2 19.0.2
  5. Incorrect implementation of lockout feature in Keycloak
    Alta · 7.5 CVE-2021-3513 < 13.0.0 13.0.0
  6. Visualizer: Tables and Charts Manager for WordPress <= 3.7.9 - Authenticated (Contributor+) PHAR Deserialization
    Alta · 8.8 CVE-2022-2256 < 19.0.2 19.0.2
  7. Keycloak Authentication Error
    Crítica · 9.8 CVE-2019-14910 >= 7.0.0, <= 7.0.1 sin corrección
  8. Keycloak Authentication Error
    Alta · 8.3 CVE-2019-14909 >= 7.0.0, <= 7.0.1 sin corrección
  9. Keycloak CSRF Vulnerability
    Alta · 7.5 CVE-2017-12159 < 3.4.0 3.4.0
  10. Keycloak Oauth Implementation Error
    Alta · 7.2 CVE-2017-12160 < 3.3.0.Final 3.3.0.Final
  11. Keycloak Improper Bruteforce Detection
    Alta · 8.1 CVE-2018-14657 < 4.6.0.Final 4.6.0.Final
  12. Keycloak insufficient session expiration
    Alta · 7.1 CVE-2021-3461 < 14.0.0 14.0.0
  13. Path Traversal
    Alta · 7.5 CVE-2020-14366 < 12.0.0 12.0.0
  14. Allocation of Resources Without Limits or Throttling in Keycloak
    Alta · 7.5 CVE-2020-10758 < 11.0.1 11.0.1
  15. Code injection in keycloak
    Alta · 8.3 CVE-2021-20222 >= 9.0.0, < 12.0.3 12.0.3

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.