Zaloguj się
Deutsch English Español Polski
Średnia

Keycloak: Improper Access Control Leading to MFA Deletion and Account Takeover in Keycloak Account REST API

  • Ujawniono: 11.03.2026
  • Aktualizacja: 11.10.2026 13:20

A flaw was identified in the Account REST API of Keycloak that allows a user authenticated at a lower security level to perform sensitive actions intended only for higher-assurance sessions. Specifically, an attacker who has already obtained a victim’s password can delete the victim’s registered MFA/OTP credential without first proving possession of that factor. The attacker can then register their own MFA device, effectively taking full control of the account. This weakness undermines the intended protection provided by multi-factor authentication.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Java / Kotlin (Maven) org.keycloak:keycloak-services <= 26.5.6 brak poprawki

Odnośniki

Ocena CVSS 4.2/10
Wektor CVSS
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:N
Słabość (CWE)
CWE-284
Platforma
Java / Kotlin (Maven)
Paczka
org.keycloak:keycloak-services
Ujawniono
11.03.2026
Aktualizacja
11.10.2026 13:20

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-8g9r-9wjw-37j4 - CC BY 4.0

Historia podatności: org.keycloak:keycloak-services

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (98) w archiwum
Wszystkich wpisów
98
Pierwsza → ostatnia
01.2022 08.2026
Bez poprawki
16
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 3
  • Wysoka 26
  • Średnia 51
  • Niska 18

Ujawnienia w latach

Istotność:
  1. Keycloak: Unauthenticated account takeover via reset-credentials flow bypass
    Krytyczna · 9.1 CVE-2026-18963 >= 26.0.0, < 26.4.15, >= 26.5.0, < 26.6.6, >= 26.7.0, < 26.7.2 26.4.15, 26.6.6, 26.7.2
  2. Keycloak: Unauthorized access via improper validation of encrypted SAML assertions
    Wysoka · 7.7 CVE-2026-2092 <= 26.2.5, >= 26.3.0, <= 26.4.7, >= 26.5.0 brak poprawki
  3. Keycloak has privilege escalation via improper scope mapping enforcement
    Wysoka · 7.3 CVE-2026-9795 < 26.6.4 26.6.4
  4. Keycloak: Open redirect when using wildcard valid redirect URIs in Keycloak
    Wysoka · 8.1 CVE-2026-7504 < 26.6.2 26.6.2
  5. Keycloak: Session fixation in OIDC login flow that can lead to account takeover
    Wysoka · 7.5 CVE-2026-7507 < 26.6.2 26.6.2
  6. Keycloak: Access token disclosure and implicit flow bypass via forged client data
    Wysoka · 7.1 CVE-2026-7571 < 26.6.2 26.6.2
  7. Keycloak: Privilege escalation via forged authorization codes due to SingleUseObjectProvider isolation flaw
    Wysoka · 7.4 CVE-2026-4282 < 26.5.7 26.5.7
  8. Keycloak: Application-Level DoS via Scope Processing
    Wysoka · 7.5 CVE-2026-4634 < 26.5.7 26.5.7
  9. Keycloak: UMA Policy Resource Injection Allows Unauthorized Cross-User Permission Grants
    Wysoka · 8.1 CVE-2026-4636 < 26.5.7 26.5.7
  10. Keycloak: Redirect URI validation bypass via ..;/ path traversal in OIDC auth endpoint
    Wysoka · 7.3 CVE-2026-3872 < 26.5.7 26.5.7
  11. Keycloak: Unauthorized authentication via disabled SAML Identity Provider
    Wysoka · 8.1 CVE-2026-2603 < 26.5.5 26.5.5
  12. Keycloak: Improper Access Control Leading to MFA Deletion and Account Takeover in Keycloak Account REST API ten wpis
    Średnia · 4.2 CVE-2026-3429 <= 26.5.6 brak poprawki
  13. Keycloak allows authentication using an Identity Provider (IdP) even after it has been disabled by an administrator
    Wysoka · 8.1 CVE-2026-3009 < 26.5.5 26.5.5
  14. Keycloak fails to verify if an Identity Provider (IdP) is enabled before issuing tokens
    Wysoka · 8.8 CVE-2026-1486 >= 26.5.0, < 26.5.3, < 26.4.9 26.5.3, 26.4.9
  15. Keycloak affected by improper invitation token validation
    Wysoka · 8.1 CVE-2026-1529 >= 26.5.0, < 26.5.3, < 26.2.13, >= 26.3.0, < 26.4.9 26.5.3, 26.2.13, 26.4.9
  16. Keycloak hostname verification
    Wysoka · 8.2 CVE-2025-3501 < 26.2.2 26.2.2
  17. org.keycloak:keycloak-services has Inefficient Regular Expression Complexity
    Wysoka · 6.5 CVE-2024-10270 < 24.0.9, >= 25.0.0, < 26.0.6 24.0.9, 26.0.6
  18. Keycloak has session fixation in Elytron SAML adapters
    Wysoka · 7.1 CVE-2024-7341 < 22.0.12, >= 23.0.0, < 24.0.7, >= 25.0.0, < 25.0.5 22.0.12, 24.0.7, 25.0.5
  19. Keycloak's admin API allows low privilege users to use administrative functions
    Wysoka · 8.1 CVE-2024-3656 < 24.0.5 24.0.5
  20. Keycloak exposes sensitive information in Pushed Authorization Requests (PAR)
    Wysoka · 7.5 CVE-2024-4540 < 24.0.5 24.0.5
  21. Keycloak path traversal vulnerability in redirection validation
    Wysoka · 8.1 CVE-2024-1132 < 22.0.10, >= 23.0.0, < 24.0.3 22.0.10, 24.0.3
  22. Keycloak's unvalidated cross-origin messages in checkLoginIframe leads to DDoS
    Wysoka · 7.4 CVE-2024-1249 < 22.0.10, >= 23.0.0, < 24.0.3 22.0.10, 24.0.3
  23. Keycloak path traversal vulnerability in the redirect validation
    Wysoka · 7.1 CVE-2024-2419 < 22.0.10, >= 23.0.0, < 24.0.3 22.0.10, 24.0.3
  24. The redirect_uri validation logic allows for bypassing explicitly allowed hosts that would otherwise be restricted
    Wysoka · 7.1 CVE-2023-6291 < 23.0.3 23.0.3
  25. Keycloak vulnerable to Improper Client Certificate Validation for OAuth/OpenID clients
    Wysoka · 7.1 CVE-2023-2422 < 21.1.2 21.1.2
  26. Keycloak vulnerable to cross-site scripting when validating URI-schemes on SAML and OIDC
    Krytyczna · 10.0 CVE-2022-4361 < 21.1.2 21.1.2
  27. Keycloak vulnerable to user impersonation via stolen UUID code
    Wysoka · 8.7 CVE-2023-0264 < 21.0.1 21.0.1
  28. JBoss Keycloak CSRF Vulnerability
    Wysoka · 8.8 CVE-2014-3709 < 1.0.3.Final 1.0.3.Final
  29. Keycloak vulnerable to privilege escalation on Token Exchange feature
    Krytyczna · 9.8 CVE-2022-1245 < 18.0.0 18.0.0
  30. Improper Authorization in Keycloak
    Wysoka · 8.8 CVE-2021-4133 < 15.1.1 15.1.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.