Iniciar sesión
Deutsch English Español Polski
Media

Improper Authorization in Keycloak Organization Mapper Allows Unauthorized Organization Claims

  • Publicada: 10.03.2025
  • Actualizado: 11.10.2026 12:21

This vulnerability is caused by the improper mapping of users to organizations based solely on email/username patterns. The issue is limited to the token claim level, meaning the user is not truly added to the organization but may appear as such in applications relying on these claims. The risk increases in scenarios where self-registration is enabled and unrestricted, allowing an attacker to exploit the naming pattern. The issue is mitigated if admins restrict registration or use strict validation mechanisms.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Java / Kotlin (Maven) org.keycloak:keycloak-services >= 26.1.0, < 26.1.3, < 26.0.10 26.1.3, 26.0.10

Referencias

Puntuación CVSS 5.4/10
Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N
Debilidad (CWE)
CWE-284
Plataforma
Java / Kotlin (Maven)
Paquete
org.keycloak:keycloak-services
Publicada
10.03.2025
Actualizado
11.10.2026 12:21

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-gvgg-2r3r-53x7 - CC BY 4.0

Historial de vulnerabilidades: org.keycloak:keycloak-services

Todas las vulnerabilidades publicadas de este paquete (Java / Kotlin (Maven)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (98) en el archivo
Entradas en total
98
Primera → última
01.2022 08.2026
Sin corrección
16
Explotada en ataques
0

Distribución por gravedad

  • Crítica 3
  • Alta 26
  • Media 51
  • Baja 18

Divulgaciones por año

Gravedad:
  1. Keycloak: Unauthenticated account takeover via reset-credentials flow bypass
    Crítica · 9.1 CVE-2026-18963 >= 26.0.0, < 26.4.15, >= 26.5.0, < 26.6.6, >= 26.7.0, < 26.7.2 26.4.15, 26.6.6, 26.7.2
  2. Keycloak: Unauthorized access via improper validation of encrypted SAML assertions
    Alta · 7.7 CVE-2026-2092 <= 26.2.5, >= 26.3.0, <= 26.4.7, >= 26.5.0 sin corrección
  3. Keycloak has privilege escalation via improper scope mapping enforcement
    Alta · 7.3 CVE-2026-9795 < 26.6.4 26.6.4
  4. Keycloak: Open redirect when using wildcard valid redirect URIs in Keycloak
    Alta · 8.1 CVE-2026-7504 < 26.6.2 26.6.2
  5. Keycloak: Session fixation in OIDC login flow that can lead to account takeover
    Alta · 7.5 CVE-2026-7507 < 26.6.2 26.6.2
  6. Keycloak: Access token disclosure and implicit flow bypass via forged client data
    Alta · 7.1 CVE-2026-7571 < 26.6.2 26.6.2
  7. Keycloak: Privilege escalation via forged authorization codes due to SingleUseObjectProvider isolation flaw
    Alta · 7.4 CVE-2026-4282 < 26.5.7 26.5.7
  8. Keycloak: Application-Level DoS via Scope Processing
    Alta · 7.5 CVE-2026-4634 < 26.5.7 26.5.7
  9. Keycloak: UMA Policy Resource Injection Allows Unauthorized Cross-User Permission Grants
    Alta · 8.1 CVE-2026-4636 < 26.5.7 26.5.7
  10. Keycloak: Redirect URI validation bypass via ..;/ path traversal in OIDC auth endpoint
    Alta · 7.3 CVE-2026-3872 < 26.5.7 26.5.7
  11. Keycloak: Unauthorized authentication via disabled SAML Identity Provider
    Alta · 8.1 CVE-2026-2603 < 26.5.5 26.5.5
  12. Keycloak allows authentication using an Identity Provider (IdP) even after it has been disabled by an administrator
    Alta · 8.1 CVE-2026-3009 < 26.5.5 26.5.5
  13. Keycloak fails to verify if an Identity Provider (IdP) is enabled before issuing tokens
    Alta · 8.8 CVE-2026-1486 >= 26.5.0, < 26.5.3, < 26.4.9 26.5.3, 26.4.9
  14. Keycloak affected by improper invitation token validation
    Alta · 8.1 CVE-2026-1529 >= 26.5.0, < 26.5.3, < 26.2.13, >= 26.3.0, < 26.4.9 26.5.3, 26.2.13, 26.4.9
  15. Keycloak hostname verification
    Alta · 8.2 CVE-2025-3501 < 26.2.2 26.2.2
  16. Improper Authorization in Keycloak Organization Mapper Allows Unauthorized Organization Claims esta entrada
    Media · 5.4 CVE-2025-1391 >= 26.1.0, < 26.1.3, < 26.0.10 26.1.3, 26.0.10
  17. org.keycloak:keycloak-services has Inefficient Regular Expression Complexity
    Alta · 6.5 CVE-2024-10270 < 24.0.9, >= 25.0.0, < 26.0.6 24.0.9, 26.0.6
  18. Keycloak has session fixation in Elytron SAML adapters
    Alta · 7.1 CVE-2024-7341 < 22.0.12, >= 23.0.0, < 24.0.7, >= 25.0.0, < 25.0.5 22.0.12, 24.0.7, 25.0.5
  19. Keycloak's admin API allows low privilege users to use administrative functions
    Alta · 8.1 CVE-2024-3656 < 24.0.5 24.0.5
  20. Keycloak exposes sensitive information in Pushed Authorization Requests (PAR)
    Alta · 7.5 CVE-2024-4540 < 24.0.5 24.0.5
Mostrar más (10) Mostrando 20 de 30

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.