Summary
Ein entfernter, authentisierter Angreifer kann eine Schwachstelle in Keycloak ausnutzen, um Sicherheitsvorkehrungen zu umgehen.
Product
Keycloak ermöglicht Single Sign-On mit Identity and Access Management für moderne Anwendungen und Dienste.
Vulnerabilities 1
-
Medium 6.4
Keycloak: cross-session email verification proof not bound to upstream identity in first-broker-login
A flaw was found in Keycloak. The cross-session verification proof is keyed only by (local userId, idpAlias) and is not bound to the upstream identity that was actually verified, so a second upstream account on the same IdP can consume it and get linked to th…
Revision history
-
#4
Neue Updates von Red Hat aufgenommen
-
#3
Neue Updates von Red Hat aufgenommen
-
#2
Neue Updates aufgenommen
-
#1
Initiale Fassung
References
-
Red Hat Bugtracker 2480172 vom 2026-05-20
https://bugzilla.redhat.com/show_bug.cgi?id=2480172
-
GitHub Security Advisory GHSA-m6qj-3mpp-57v8 vom 2026-05-20
https://github.com/advisories/GHSA-m6qj-3mpp-57v8
-
Keycloak 26.6.3 release vom 2026-06-04
https://www.keycloak.org/2026/06/keycloak-2663-released
-
Red Hat Security Advisory RHSA-2026:25098 vom 2026-06-10
https://access.redhat.com/errata/RHSA-2026:25098
-
Red Hat Security Advisory RHSA-2026:25097 vom 2026-06-10
https://access.redhat.com/errata/RHSA-2026:25097
-
Red Hat Security Advisory RHSA-2026:30049 vom 2026-06-25
https://access.redhat.com/errata/RHSA-2026:30049
-
Red Hat Security Advisory RHSA-2026:30084 vom 2026-06-25
https://access.redhat.com/errata/RHSA-2026:30084
-
Red Hat Security Advisory RHSA-2026:30050 vom 2026-06-25
https://access.redhat.com/errata/RHSA-2026:30050
-
Red Hat Security Advisory RHSA-2026:30083 vom 2026-06-25
https://access.redhat.com/errata/RHSA-2026:30083