CVE-2026-7507
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
W Keycloak wykryto podatność na fiksację sesji w endpointach logowania. Nieuwierzytelniony atakujący może stworzyć sesję uwierzytelniającą i nakłonić ofiarę do kliknięcia spreparowanego linku, co pozwala na przejęcie formularza wymaganych akcji bez znajomości jej danych logowania. Udane wykorzystanie może prowadzić do całkowitego przejęcia konta, w tym kont administracyjnych.
Ocena ryzyka
Ryzyko dla organizacji obejmuje możliwość całkowitego przejęcia kont użytkowników, w szczególności kont o wysokich uprawnieniach, co może skutkować nieautoryzowanym dostępem do wrażliwych danych i systemów.
Rekomendacja
Zaleca się natychmiastową aktualizację Keycloak do wersji zawierającej poprawkę oraz wdrożenie mechanizmów ochrony CSRF i walidacji własności ciasteczek dla endpointów logowania.
Inne podatności w Keycloak
Zobacz wszystkie- CVE-2026-19608Średnie
Znaleziono błąd w dostawcy polityk grupowych usług autoryzacji Keycloak, który jest używany do zarządzania precyzyjną kontrolą dostępu do zasobów. Problem występuje, gdy system ocenia polityki oparte na grupach przy użyciu tokenów zawierających tylko nazwy grup, a nie pełne ścieżki. Jeśli dwie grupy w różnych częściach organizacji mają tę samą nazwę, użytkownik z nieautoryzowanej grupy może zostać uznany za członka autoryzowanej grupy. Może to pozwolić użytkownikowi na nieautoryzowany dostęp do chronionych zasobów, do których nie powinien mieć dostępu.
- CVE-2026-0707Średnie
W Keycloak znaleziono lukę, która dotyczy parsera nagłówka autoryzacji. Parser ten jest zbyt tolerancyjny wobec formatowania schematu autoryzacji 'Bearer', akceptując niestandardowe znaki jako separatory oraz tolerując różnice w wielkości liter, które odbiegają od specyfikacji RFC 6750.
- CVE-2017-12159Wysokie
Wykryto, że ciasteczko używane do zapobiegania CSRF w Keycloak nie było unikalne dla każdej sesji. Atakujący mógł wykorzystać tę lukę, aby uzyskać dostęp do sesji uwierzytelnionego użytkownika, co może prowadzić do ujawnienia informacji lub dalszych ataków.
- CVE-2026-82968Średnie
Znaleziono błąd w przepływie pierwszego logowania brokera w usłudze zarządzania tożsamością Keycloak. Gdy użytkownik łączy konto dostawcy tożsamości społecznościowej ze swoim lokalnym kontem, generowany dowód weryfikacji nie jest ściśle powiązany z konkretną tożsamością upstream, która jest weryfikowana. Pozwala to atakującemu z innym kontem u tego samego dostawcy społecznościowego na przechwycenie procesu i powiązanie własnego konta z profilem ofiary, uzyskując nieautoryzowany dostęp.
- CVE-2026-79652Średnie
W komponencie keycloak-services Red Hat Build of Keycloak występuje błąd w implementacji grantu JWT Bearer. Grant nie sprawdza, czy klient wymaga zgody użytkownika przed wydaniem tokena. Pozwala to uwierzytelnionemu atakującemu z ważnymi poświadczeniami klienta i zaufanym asercją dostawcy tożsamości na obejście wymogu zgody i uzyskanie nieautoryzowanego dostępu do konta użytkownika w kliencie wymagającym zgody.
- CVE-2026-15571Wysokie
Keycloak zawiera podatność w legacy endpoint do łączenia kont, gdzie mechanizm ochrony oparty na hashu może być przewidziany przez złośliwego klienta OIDC. Atakujący może sfałszować link łączący, aby połączyć konto ofiary z zewnętrzną tożsamością atakującego, co prowadzi do pełnego przejęcia konta.
- CVE-2026-18967Średnie
W komponencie SAML broker w Keycloak, gdy skonfigurowano przepływ IdP-Initiated, nie jest egzekwowany warunek OneTimeUse w asercjach SAML. Pozwala to atakującemu, który przechwyci ważną, nieużywaną asercję, na jej wielokrotne odtworzenie, co może prowadzić do przejęcia sesji użytkownika.
- CVE-2026-16442Wysokie
Podatność w komponencie SAML broker w Keycloak, używanym do zarządzania federacją tożsamości i uwierzytelnianiem użytkowników. Problem polega na tym, że punkt końcowy Single Sign-On inicjowany przez IdP nie sprawdza, czy dostawca jest ograniczony tylko do łączenia kont. Pozwala to atakującemu kontrolującemu powiązane upstream tożsamości ominąć ograniczenia logowania i uzyskać pełny dostęp do lokalnego konta użytkownika.
- CVE-2026-15572Wysokie
Podatność w zarządzaniu polityką bezpieczeństwa Dynamic Client Registration (DCR) w Keycloak. Polityka "Allowed Protocol Mapper Types" nie ponownie weryfikuje typu mappera podczas aktualizacji klienta, jeśli konfiguracja mappera pozostaje niezmieniona. Atakujący z uprawnieniami rejestracji klienta może najpierw zarejestrować dozwolony typ mappera ze złośliwą konfiguracją, a następnie zamienić go na ograniczony typ o wysokich uprawnieniach (np. taki, który na sztywno ustawia role administracyjne), co pozwala uzyskać pełny dostęp administracyjny do realm.
- CVE-2026-16102Wysokie
Podatność w komponencie Dynamic Client Registration (DCR) w Keycloak. Domyślna polityka DCR nieprawidłowo waliduje ścieżkę claim dla mappera User Property, co pozwala zapisywać wartości w wrażliwych wewnętrznych lokalizacjach claim. Atakujący ze standardowym kontem użytkownika i ograniczonym Initial Access Token może sfałszować role administracyjne w swoim tokenie dostępu, co umożliwia przejęcie innych klientów, kradzież poufnych sekretów i potencjalnie pełną kontrolę administracyjną nad realm.
Oryginalny opis (angielski, źródło NVD)
A session fixation vulnerability was found in Keycloak's login-actions endpoints. An unauthenticated attacker could exploit this flaw by pre-creating an authentication session and tricking a victim into visiting a maliciously crafted link. By leveraging the /login-actions/restart endpoint—which processes session handles without adequate CSRF protection or cookie ownership validation—an attacker can reset the authentication flow state. This causes Single Sign-On (SSO) to authenticate the victim transparently upon clicking the link, allowing the attacker to hijack the required-action form without needing the victim's credentials. A successful exploit could lead to complete account takeover, including highly privileged administrative accounts.