Anmelden
Deutsch English Español Polski
Mittel

Keycloak phishing attack via email verification step in first login flow

  • Veröffentlicht: 30.07.2025
  • Aktualisiert: 11.10.2026 12:22

There is a flaw with the first login flow where, during a IdP login, an attacker with a registered account can initiate the process to merge accounts with an existing victim's account. The attacker will subsequently be prompted to "review profile" information, which allows the the attacker to modify their email address to that of a victim's account. This triggers a verification email sent to the victim's email address. If the victim clicks the verification link, the attacker can gain access to the victim's account. While not a zero-interaction attack, the attacker's email address is not directly present in the verification email content, making it a potential phishing opportunity.

This issue has been fixed in versions 26.0.13, 26.2.6, and 26.3.0.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Java / Kotlin (Maven) org.keycloak:keycloak-services < 26.0.13, >= 26.2.0, < 26.2.6 26.0.13, 26.2.6

Verweise

CVSS-Wert 5.4/10
CVSS-Vektor
CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:L/A:N
Schwäche (CWE)
CWE-346
Plattform
Java / Kotlin (Maven)
Paket
org.keycloak:keycloak-services
Veröffentlicht
30.07.2025
Aktualisiert
11.10.2026 12:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-xhpr-465j-7p9q - CC BY 4.0

Schwachstellenhistorie: org.keycloak:keycloak-services

Alle veröffentlichten Schwachstellen dieses Pakets (Java / Kotlin (Maven)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (98) im Archiv
Einträge insgesamt
98
Erste → letzte
01.2022 08.2026
Ohne Fix
16
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 3
  • Hoch 26
  • Mittel 51
  • Niedrig 18

Veröffentlichungen pro Jahr

Schweregrad:
  1. Keycloak: Unauthenticated account takeover via reset-credentials flow bypass
    Kritisch · 9.1 CVE-2026-18963 >= 26.0.0, < 26.4.15, >= 26.5.0, < 26.6.6, >= 26.7.0, < 26.7.2 26.4.15, 26.6.6, 26.7.2
  2. Keycloak: Unauthorized access via improper validation of encrypted SAML assertions
    Hoch · 7.7 CVE-2026-2092 <= 26.2.5, >= 26.3.0, <= 26.4.7, >= 26.5.0 keine Korrektur
  3. Keycloak has privilege escalation via improper scope mapping enforcement
    Hoch · 7.3 CVE-2026-9795 < 26.6.4 26.6.4
  4. Keycloak: Open redirect when using wildcard valid redirect URIs in Keycloak
    Hoch · 8.1 CVE-2026-7504 < 26.6.2 26.6.2
  5. Keycloak: Session fixation in OIDC login flow that can lead to account takeover
    Hoch · 7.5 CVE-2026-7507 < 26.6.2 26.6.2
  6. Keycloak: Access token disclosure and implicit flow bypass via forged client data
    Hoch · 7.1 CVE-2026-7571 < 26.6.2 26.6.2
  7. Keycloak: Privilege escalation via forged authorization codes due to SingleUseObjectProvider isolation flaw
    Hoch · 7.4 CVE-2026-4282 < 26.5.7 26.5.7
  8. Keycloak: Application-Level DoS via Scope Processing
    Hoch · 7.5 CVE-2026-4634 < 26.5.7 26.5.7
  9. Keycloak: UMA Policy Resource Injection Allows Unauthorized Cross-User Permission Grants
    Hoch · 8.1 CVE-2026-4636 < 26.5.7 26.5.7
  10. Keycloak: Redirect URI validation bypass via ..;/ path traversal in OIDC auth endpoint
    Hoch · 7.3 CVE-2026-3872 < 26.5.7 26.5.7
  11. Keycloak: Unauthorized authentication via disabled SAML Identity Provider
    Hoch · 8.1 CVE-2026-2603 < 26.5.5 26.5.5
  12. Keycloak allows authentication using an Identity Provider (IdP) even after it has been disabled by an administrator
    Hoch · 8.1 CVE-2026-3009 < 26.5.5 26.5.5
  13. Keycloak fails to verify if an Identity Provider (IdP) is enabled before issuing tokens
    Hoch · 8.8 CVE-2026-1486 >= 26.5.0, < 26.5.3, < 26.4.9 26.5.3, 26.4.9
  14. Keycloak affected by improper invitation token validation
    Hoch · 8.1 CVE-2026-1529 >= 26.5.0, < 26.5.3, < 26.2.13, >= 26.3.0, < 26.4.9 26.5.3, 26.2.13, 26.4.9
  15. Keycloak phishing attack via email verification step in first login flow dieser Eintrag
    Mittel · 5.4 CVE-2025-7365 < 26.0.13, >= 26.2.0, < 26.2.6 26.0.13, 26.2.6
  16. Keycloak hostname verification
    Hoch · 8.2 CVE-2025-3501 < 26.2.2 26.2.2
  17. org.keycloak:keycloak-services has Inefficient Regular Expression Complexity
    Hoch · 6.5 CVE-2024-10270 < 24.0.9, >= 25.0.0, < 26.0.6 24.0.9, 26.0.6
  18. Keycloak has session fixation in Elytron SAML adapters
    Hoch · 7.1 CVE-2024-7341 < 22.0.12, >= 23.0.0, < 24.0.7, >= 25.0.0, < 25.0.5 22.0.12, 24.0.7, 25.0.5
  19. Keycloak's admin API allows low privilege users to use administrative functions
    Hoch · 8.1 CVE-2024-3656 < 24.0.5 24.0.5
  20. Keycloak exposes sensitive information in Pushed Authorization Requests (PAR)
    Hoch · 7.5 CVE-2024-4540 < 24.0.5 24.0.5
  21. Keycloak path traversal vulnerability in redirection validation
    Hoch · 8.1 CVE-2024-1132 < 22.0.10, >= 23.0.0, < 24.0.3 22.0.10, 24.0.3
  22. Keycloak's unvalidated cross-origin messages in checkLoginIframe leads to DDoS
    Hoch · 7.4 CVE-2024-1249 < 22.0.10, >= 23.0.0, < 24.0.3 22.0.10, 24.0.3
  23. Keycloak path traversal vulnerability in the redirect validation
    Hoch · 7.1 CVE-2024-2419 < 22.0.10, >= 23.0.0, < 24.0.3 22.0.10, 24.0.3
  24. The redirect_uri validation logic allows for bypassing explicitly allowed hosts that would otherwise be restricted
    Hoch · 7.1 CVE-2023-6291 < 23.0.3 23.0.3
  25. Keycloak vulnerable to Improper Client Certificate Validation for OAuth/OpenID clients
    Hoch · 7.1 CVE-2023-2422 < 21.1.2 21.1.2
  26. Keycloak vulnerable to cross-site scripting when validating URI-schemes on SAML and OIDC
    Kritisch · 10.0 CVE-2022-4361 < 21.1.2 21.1.2
  27. Keycloak vulnerable to user impersonation via stolen UUID code
    Hoch · 8.7 CVE-2023-0264 < 21.0.1 21.0.1
  28. JBoss Keycloak CSRF Vulnerability
    Hoch · 8.8 CVE-2014-3709 < 1.0.3.Final 1.0.3.Final
  29. Keycloak vulnerable to privilege escalation on Token Exchange feature
    Kritisch · 9.8 CVE-2022-1245 < 18.0.0 18.0.0
  30. Improper Authorization in Keycloak
    Hoch · 8.8 CVE-2021-4133 < 15.1.1 15.1.1

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.