8.8
Élevée
CVE-2026-97175 Keycloak-services: keycloak-services: unverified idp email auto-linking enables account takeover
Description
A flaw was found in the idp-auto-link authenticator of the keycloak-services component, which handles user identity federation. The issue occurs when Keycloak automatically links an incoming identity from an external provider to an existing local account based on an email address without verifying if the provider has validated that email. This can allow an attacker to take over a victim's account by using a matching unverified email address at a brokered provider.
Détail CVSS 3.1
Vecteur CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HExploitable à distance par le réseau, avec un compte ordinaire et sans action d’un utilisateur ; un attaquant peut compromettre gravement la confidentialité, l’intégrité ou la disponibilité.
- Vecteur d’attaque
- Réseau
- Complexité
- Faible
- Privilèges requis
- Faibles
- Interaction
- Aucune
- Portée
- Inchangée
- Confidentialité
- Élevé
- Intégrité
- Élevé
- Disponibilité
- Élevé
Produits et versions touchés
| Produit | Versions touchées | Corrigé en |
|---|---|---|
| Red Hat Build of Keycloak | Versions non publiées | |
| Red Hat Single Sign-On 7 | Versions non publiées | |
| Red Hat build of Keycloak 26.6.8 | Versions non publiées | |
| Red Hat build of Keycloak 26.4.17 | Versions non publiées |
Autres CVE de Red Hat Build of Keycloak
Les 277 CVE de Red Hat Build of Keycloak →
CVE-2026-120984
Keycloak-services: keycloak-services: manage-clients to arbitrary code execution through inline javascript policy import
9.1
Critique
CVE-2026-9797
Keycloak: keycloak: privilege escalation via client authentication manipulation by an authenticated administrator
6.5
Moyenne
CVE-2026-97848
Keycloak-services: keycloak-services: protocol mapper with jsontype=json bypasses token sanitization
6.5
Moyenne
CVE-2026-97367
Keycloak-services: keycloak-services: dcr azp and sid claim substitution allows account rest session takeover
6.4
Moyenne