Identity-Brokering on IDaaS Bookhttps://idaas.xlabs.club/tags/identity-brokering/Recent content in Identity-Brokering on IDaaS BookHugozh-CNCopyright (c) 2020-2024 xlabs.clubFri, 25 Sep 2026 23:10:06 +0800Keycloak 身份代理登出验签：CVE-2026-18569 与 26.8 升级准备https://idaas.xlabs.club/blog/keycloak-broker-logout-token-validation/Fri, 25 Sep 2026 21:00:00 +0800https://idaas.xlabs.club/blog/keycloak-broker-logout-token-validation/把 OIDC IdP 的「Validate Signatures」关掉，会连带放过身份代理方向的登出令牌：26.7.4 及更早接受 alg=none 的伪造登出令牌（CVE-2026-18569）。修复 PR #52171 尚未合入，登记在 26.8.0 升级说明里——升级前必须补上公钥或 JWKS，否则上游登出传播会在升级后失效。