CVE-2026-120984: RCE in Keycloak tramite JavaScript policy

CVE-2026-120984 identifica una vulnerability nel componente di gestione client di Keycloak server. Quando un client viene creato o importato con authorization services abilitati, il sistema non pulisce correttamente un attributo di sessione interna utilizzato durante il setup. Un attaccante autenticato con permessi di gestione client può bypassare i controlli di sicurezza e caricare una malicious JavaScript policy, che viene poi eseguita sul server durante una richiesta di autorizzazione.

La vulnerabilità ha CVSS 9,1 (critical secondo NVD), anche se dichiarata come high in altre fonti. È stata pubblicata il 2026-11-07; non sono stati segnalati exploit pubblici su GitHub fino ad ora. Su X si registrano 5 post nelle ultime 24 ore che confermano il CVE-2026-120984 con esecuzione di codice arbitrario sul server. Nessuna patch è disponibile al momento della pubblicazione, come confermato dai segnali pubblici.

Chi gestisce Keycloak deve verificare immediatamente quali istanze hanno authorization services abilitati. Restringere i permessi di accesso al client management solo a operatori trusted, controllare i log di authorization requests per attività sospette, e disabilitare temporaneamente inline JavaScript policies fino al rilascio di una patch. Monitorare le advisory pubbliche di Red Hat per aggiornamenti di sicurezza e correzioni.