CVE-2026-14781
Açıklama
org.keycloak.broker.oidc paketinde, OIDC broker'ın email_verified talebini yanlış senkronize ettiği bir açık bulunmaktadır. Bir OIDC kimlik sağlayıcısı trustEmail=true olarak yapılandırıldığında ve userinfo uç noktası etkinleştirildiğinde, Keycloak e-posta adresini userinfo yanıtından alır ancak email_verified durumunu yalnızca id_token üzerinden alır. Kök neden, id_token içindeki email_verified talebinin gerçekten userinfo uç noktası tarafından döndürülen e-posta adresine referans verdiğini doğrulayan bir kontrolün eksikliğidir. Eğer bu iki kaynak farklı e-posta adresleri döndürürse, id_token'daki email_verified=true talebi körü körüne userinfo e-postasına uygulanır. İstismar Koşulları: OIDC kimlik sağlayıcısının trustEmail ayarı true olarak belirlenmiş olmalıdır (varsayılan değil). userinfo uç noktası etkinleştirilmiş olmalıdır (varsayılan). Saldırganın üst akıştaki OIDC sağlayıcısını kontrol etmesi veya ele geçirmiş olması gerekir. Somut Etki: Keycloak veritabanında rastgele e-posta adreslerini doğrulanmış olarak işaretlemek. E-posta tabanlı güvenlik kontrollerini veya doğrulama iş akışlarını atlatmak. Uygulamanın hesapları ilişkilendirmek için yalnızca IdP'den gelen email_verified bayrağına güvenmesi durumunda potansiyel hesap ele geçirme.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| redhat build_of_keycloak | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.