CVE-2026-14781
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
W pakiecie org.keycloak.broker.oidc wykryto błąd polegający na nieprawidłowej synchronizacji atrybutu email_verified. Gdy dostawca OIDC ma ustawione trustEmail=true i włączony jest endpoint userinfo, Keycloak pobiera adres email z odpowiedzi userinfo, ale status email_verified wyłącznie z id_token. Brak walidacji, czy email_verified w id_token dotyczy tego samego adresu email co z userinfo, pozwala na błędne oznaczenie dowolnego adresu email jako zweryfikowanego.
Ocena ryzyka
Organizacja narażona jest na ominięcie mechanizmów weryfikacji email i potencjalne przejęcie kont użytkowników, jeśli aplikacja polega na flagi email_verified od dostawcy tożsamości do łączenia kont. Atakujący musi kontrolować lub skompromitować nadrzędnego dostawcę OIDC.
Rekomendacja
Zaleca się natychmiastową aktualizację Keycloak do wersji zawierającej poprawkę dla CVE-2026-14781. Do czasu aktualizacji należy wyłączyć trustEmail=true lub endpoint userinfo, jeśli to możliwe.
Inne podatności w Keycloak
Zobacz wszystkie- CVE-2026-19607Średnie
W komponencie keycloak-services wykryto usterkę w przepływie pierwszego logowania brokera. Umożliwia ona atakującemu zarejestrowanie pasującej nazwy użytkownika u zewnętrznego dostawcy tożsamości, co powoduje kolizję w Keycloak i zablokowanie legalnego użytkownika.
- CVE-2026-17526Wysokie
Keycloak to open-source'owe rozwiązanie do zarządzania tożsamością i dostępem. Wykryto podatność, w której użytkownik posiadający rolę impersonacji może podszyć się pod administratora realm, uzyskując pełną kontrolę administracyjną nad realm, w tym możliwość zarządzania użytkownikami, klientami i rolami.
- CVE-2026-79651Wysokie
Wykryto lukę w endpointach lokalizacji motywów komponentu keycloak-services, który jest kluczową usługą odpowiedzialną za przepływy uwierzytelniania i zarządzanie motywami w Keycloak. Problem polega na tym, że system przyjmuje dowolne znaczniki locale z nieuwierzytelnionych żądań i przechowuje je w trwałym cache w pamięci bez ograniczeń. Atakujący może wysłać dużą liczbę unikalnych znaczników locale, doprowadzając do wyczerpania pamięci i awarii serwera.
- CVE-2026-18212Wysokie
Wada w implementacji SAML Redirect Binding w Keycloak polega na tym, że niestandardowe pomocniki kompresji i dekompresji DEFLATE nie zwalniają natywnej pamięci zlib po użyciu. Nieuwierzytelniony atakujący może wysyłać powtarzające się zniekształcone żądania SAML, prowadząc do wyczerpania natywnej pamięci i odmowy usługi.
- CVE-2017-12159Wysokie
Wykryto, że ciasteczko używane do zapobiegania CSRF w Keycloak nie było unikalne dla każdej sesji. Atakujący mógł wykorzystać tę lukę, aby uzyskać dostęp do sesji uwierzytelnionego użytkownika, co może prowadzić do ujawnienia informacji lub dalszych ataków.
- CVE-2026-120984Krytyczne
W komponencie zarządzania klientami serwera Keycloak wykryto błąd. Podczas tworzenia lub importu klienta z włączonymi usługami autoryzacji system nie czyści prawidłowo atrybutu sesji używanego podczas konfiguracji. Uwierzytelniony atakujący z uprawnieniami do zarządzania klientami może ominąć mechanizmy bezpieczeństwa i przesłać złośliwą politykę JavaScript, która jest wykonywana na serwerze.
- CVE-2026-117691Krytyczne
W implementacji wiązania SAML HTTP-Redirect w Keycloak występuje luka polegająca na tym, że serwer przetwarza nazwy parametrów zakodowane procentowo (np. %53AMLResponse), podczas gdy logika weryfikacji podpisu sprawdza tylko literalne nazwy parametrów. Atakujący może wykorzystać tę rozbieżność, dostarczając spreparowaną, niepodpisaną wiadomość SAML, którą serwer przetwarza zamiast legalnie podpisanej, co prowadzi do pełnego przejęcia konta użytkowników sfederowanych.
- CVE-2026-9797Średnie
W Keycloak wykryto lukę w usługach administracyjnych (org.keycloak.services.resources.admin). Uprzywilejowany atakujący z rolą 'manage-clients' może m.in. manipulować zestawami kluczy JWKS klientów, podmieniać typy authenticatorów i resetować sekrety lub pobierać prawdziwe klucze podpisujące. Skuteczne wykorzystanie pozwala uzyskać token z przypisaną rolą 'realm-admin', co prowadzi do eskalacji uprawnień.
- CVE-2026-97848Średnie
W Keycloak wykryto błąd w logice sanityzacji tokenów. Gdy mapper protokołu emituje strukturalne claims typu JSON, mechanizm usuwający nieautoryzowane mapowania ról rozpoznaje tylko standardowe mapy Java, a nie obiekty JSON oparte na Jacksonie. Umożliwia to atakującemu wstrzyknięcie sfałszowanych ról klienta do tokenów bezpieczeństwa.
- CVE-2026-97367Średnie
W Keycloak Account REST API występuje błąd w obsłudze identyfikacji sesji. Złośliwy właściciel klienta może zmodyfikować własne tokeny bezpieczeństwa tak, aby wskazywały na aktywną sesję innego użytkownika. Pozwala to na dostęp i modyfikację danych ofiary, w tym zmianę adresu e-mail odzyskiwania i reset hasła.
Oryginalny opis (angielski, źródło NVD)
A flaw exists in the org.keycloak.broker.oidc package where the OIDC broker incorrectly synchronizes the email_verified claim. When an OIDC identity provider is configured with trustEmail=true and the userinfo endpoint is enabled, Keycloak retrieves the email address from the userinfo response but retrieves the email_verified status exclusively from the id_token. The root cause is a lack of validation ensuring that the email_verified claim in the id_token actually refers to the email address returned by the userinfo endpoint. If these two sources return different email addresses, the id_token's email_verified=true claim is blindly applied to the userinfo email. Exploitation Conditions: The OIDC identity provider must have trustEmail set to true (non-default). The userinfo endpoint must be enabled (default). The attacker must control or have compromised the upstream OIDC provider. Concrete Impact: Mark arbitrary email addresses as verified in the Keycloak database. Bypass email-based security controls or verification workflows. Potential account takeover if the application relies solely on the email_verified flag from the IdP to link accounts.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS