Skip to content
OpenAdvisories
Medium WID-SEC-2025-2606 2 CVEs

Keycloak: Mehrere Schwachstellen

Published Nov 13, 2025 · Updated Feb 26, 2026 · Revision 2 · de-DE

Platform: Linux

Summary

Ein Angreifer kann mehrere Schwachstellen in Keycloak ausnutzen, um beliebigen Programmcode auszuführen, und um Sicherheitsvorkehrungen zu umgehen.

Product

Keycloak ermöglicht Single Sign-On mit Identity and Access Management für moderne Anwendungen und Dienste.

Vulnerabilities 2

  • Medium 6.8
    CVE-2025-11538

    Keycloak-server: debug default bind address

    A vulnerability exists in Keycloak's server distribution where enabling debug mode (--debug <port>) insecurely defaults to binding the Java Debug Wire Protocol (JDWP) port to all network interfaces (0.0.0.0). This exposes the debug port to the local network, …

    Red Hat Keycloak Red Hat build of Keycloak 26.4 Keycloak Maven
  • Low 3.1
    CVE-2025-12150

    Org.keycloak/keycloak-services: webauthn attestation statement verification bypass

    A flaw was found in Keycloak’s WebAuthn registration component. This vulnerability allows an attacker to bypass the configured attestation policy and register untrusted or forged authenticators via submission of an attestation object with fmt: "none", even wh…

    Red Hat Keycloak Red Hat build of Keycloak 26.4 Red Hat build of Keycloak 26.2 Maven

Revision history

  1. #2

    Referenz(en) aufgenommen: EUVD-2025-208135

  2. #1

    Initiale Fassung

References