CVE-2026-14781

org.keycloak.broker.oidc paketində OIDC brokerinin email_verified iddiasını yanlış sinxronizasiya etdiyi bir çatışmazlıq mövcuddur. OIDC kimlik provayderi trustEmail=true olaraq konfiqurasiya edildikdə və userinfo son nöqtəsi aktiv olduqda, Keycloak e-poçt ünvanını userinfo cavabından, lakin email_verified statusunu münhasir olaraq id_token-dən əldə edir. Kök səbəb, id_token-dəki email_verified iddiasının həqiqətən userinfo son nöqtəsi tərəfindən qaytarılan e-poçt ünvanına aid olduğunu təmin edən validasiyanın olmamasıdır. Əgər bu iki mənbə fərqli e-poçt ünvanları qaytararsa, id_token-in email_verified=true iddiası kor-koranə userinfo e-poçtuna tətbiq edilir. İstismar şərtləri: OIDC kimlik provayderində trustEmail parametri true olaraq təyin edilmiş olmalıdır (standart deyil). userinfo son nöqtəsi aktiv olmalıdır (standart). Hücumçu yuxarı axındakı OIDC provayderini idarə etməli və ya onu kompromis vəziyyətinə gətirməlidir. Konkret təsir: Keycloak verilənlər bazasında istənilən e-poçt ünvanlarını təsdiqlənmiş kimi qeyd etmək. E-poçta əsaslanan təhlükəsizlik nəzarətlərindən və ya təsdiqləmə iş axınlarından yan keçmək. Əgər tətbiq hesabları əlaqələndirmək üçün yalnız IdP-dən gələn email_verified bayrağına güvənirsə, potensial hesabların ələ keçirilməsi.