CVE-2026-9086

Keycloak のクライアントURI検証における大文字・小文字の扱いを悪用したクロスサイトスクリプティング（XSS）脆弱性。manage-client権限またはクライアント登録エンドポイントへのアクセスを持つリモート攻撃者が、大文字・小文字を混在させた javascript: または data: スキームを含むリダイレクトURIを登録することで検証を回避できる。被害者がログアウトフローや管理コンソールなどから細工されたリンクを開くと、Keycloakと同一オリジンで任意のコードが実行される可能性がある。