Summary
Vulnerability in pac4j-oidc (CVE-2026-82461). Confidential information can be exposed externally.
Original description
The description as published by the source.
pac4j-oidc before 6.5.6 fails to verify access token signatures, issuers, audiences, or expiry when extracting Keycloak realm and client roles. Attackers can forge access tokens with administrative roles paired with valid ID tokens to bypass authorization checks in applications relying on pac4j role validation.
Source: NIST National Vulnerability Database NVD GitHub Advisory
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
pac4j-oidc 6.5.6以前のバージョンには、Keycloakのレルムとクライアントロールを抽出する際に、アクセス・トークンの署名、発行元、オーディエンス、または有効期限を検証しないという欠陥があります。この欠陥により、攻撃者は管理者権限を持つアクセス・トークンを偽造し、pac4jのロール検証に依存するアプリケーションの認可チェックを回避することが可能です。
pac4j-oidcの一部でトークンの検証が不完全
pac4j-oidc 6.5.5以前
不正なアクセス・トークンによる認可回避が可能
バージョン6.5.6以上にアップデートしてください。
情報なし
トークン検証の不備をコードレビューで確認する