Mittel25 / 100Konfidenz: Mittel

CVSS8.1EPSS0.9 %Über Netz erreichbarOhne Anmeldung

Prüfen Sie umgehend die Herstellerinformationen und spielen Sie die bereitgestellten Updates für betroffene Keycloak-Versionen und Red Hat Enterprise Linux ein.

▸Herleitung der Bewertung(2)

Wie der Wert zustande kommt

Hoechster CVSS-Basiswert 8.1+15
Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-37982, CVSS-Vektor AV:N/PR:N)+10

Woraus sich die Konfidenz ergibt

Nur ein Herausgeber — keine Gegenlesung
Darunter eine behoerdliche Primaerquelle
Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Einschränkungen

Schmale Datenlage: der Wert beruht auf wenigen Einzelsignalen.

Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.· 2026-11-06 12:46 UTCMethodik

[UPDATE] [hoch] Keycloak: Mehrere Schwachstellen

CERT-Bund·6. November 2026, 12:46

Originalartikel lesen bei CERT-Bund

Mehrere Schwachstellen in Keycloak ermöglichen Angreifern die Offenlegung und Manipulation von Daten, die Umgehung von Sicherheitsvorkehrungen sowie Denial of Service. Betroffen sind verschiedene Open Source Keycloak-Versionen und Red Hat Enterprise Linux auf Linux/UNIX-Plattformen. Nutzer sollten umgehend die bereitgestellten Herstellerinformationen prüfen und Updates einspielen, um die Risiken zu mindern.

SecBoard-Einordnung

Die Schwachstellen können zu Datenoffenlegung, Datenmanipulation, Umgehung von Sicherheitsvorkehrungen und Denial of Service führen, was die Integrität und Verfügbarkeit von Identitäts- und Zugriffsmanagement-Systemen gefährdet.

Realistisch schlimmster Fall: Ein Angreifer könnte sensible Daten offenlegen oder manipulieren, Sicherheitskontrollen umgehen und den Dienst vollständig unterbrechen, was weitreichende Auswirkungen auf die Authentifizierung und Autorisierung innerhalb der Organisation hätte.

Key Facts

CVE-2026-7504

CVSS: 8.1 · HIGH
EPSS: 0.6%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: ja
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität
Patch: 26.6.2
Zuweisende CNA: secalert@redhat.com

CVE-2026-7307

CVSS: 7.5 · HIGH
EPSS: 0.9%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Verfügbarkeit
Patch: 26.6.2
Zuweisende CNA: secalert@redhat.com

CVE-2026-7507

CVSS: 7.5 · HIGH
EPSS: 0.8%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: ja
Angriffskomplexität: hoch
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: 26.6.2
Zuweisende CNA: secalert@redhat.com

CVE-2026-7571

CVSS: 7.1 · HIGH
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität
Patch: 26.6.2
Zuweisende CNA: secalert@redhat.com

CVE-2026-37982

CVSS: 6.8 · MEDIUM
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: ja
Angriffskomplexität: hoch
Beeinträchtigt: Vertraulichkeit, Integrität
Patch: 26.6.2
Zuweisende CNA: secalert@redhat.com

CVE-2026-4630

CVSS: 6.8 · MEDIUM
EPSS: 0.3%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: hoch
Beeinträchtigt: Vertraulichkeit, Integrität
Patch: 26.6.2
Zuweisende CNA: secalert@redhat.com

CVE-2026-37979

CVSS: 6.5 · MEDIUM
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit
Patch: 26.6.2
Zuweisende CNA: secalert@redhat.com

CVE-2026-37978

CVSS: 4.9 · MEDIUM
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit
Patch: 26.6.2
Zuweisende CNA: secalert@redhat.com

CVE-2026-37981

CVSS: 4.3 · MEDIUM
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit
Patch: 26.4.12
Zuweisende CNA: secalert@redhat.com

Betroffen

Organisationen, die Open Source Keycloak-Versionen oder Red Hat Enterprise Linux auf Linux/UNIX-Plattformen einsetzen.

Hersteller

Redhat

Produkte

Build Of Keycloak

▸ CPE-Rohbezeichner anzeigen (1)

cpe:2.3:a:redhat:build_of_keycloak:*:*:*:*:*:*:*:*

Prüfen

▸Überprüfen Sie die installierten Keycloak-Versionen und Red Hat Enterprise Linux-Versionen auf Linux/UNIX-Plattformen.
▸Stellen Sie sicher, dass alle Systeme auf die neuesten gepatchten Versionen aktualisiert wurden.

▸ 1 weitere

▸Überwachen Sie ungewöhnliche Aktivitäten oder Anzeichen von Datenmanipulation oder Dienstunterbrechungen in Ihren Keycloak-Instanzen.

Offene Punkte

▸ anzeigen

▸Spezifische CVE-IDs der Schwachstellen sind nicht angegeben.
▸Die genauen betroffenen Keycloak-Versionen vor den gepatchten Versionen sind nicht detailliert.
▸Die Art der 'sensiblen Daten', die offengelegt oder manipuliert werden könnten, ist nicht spezifiziert.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen

Initial Access möglich?Unklar
Privilege Escalation relevant?Unklar
Exploit öffentlich verfügbar?Möglich
Detection / Logging prüfbar?Ja
Für Purple-Team-Szenario geeignet?Unklar

Kundenfragen

Sind wir hiervon betroffen — und können wir es detektieren?

MITRE ATT&CK(3)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1499Denial of Servicezugeordnet

„Denial of Service“

T1530Data from Cloud Storagezugeordnet

„Offenlegung und Manipulation von Daten“

T1562Impair Defenseszugeordnet

„Umgehung von Sicherheitsvorkehrungen“

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Quellen & Belege· 1 Quelle

CERT-BundPrimärbelegPUBLICZuverlässigkeit Adiese Meldung

Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.

[UPDATE] [hoch] Keycloak: Mehrere Schwachstellen

Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

CVE-Profile

CVE-2026-7504 CVE-2026-7307 CVE-2026-7507 CVE-2026-7571 CVE-2026-37982 CVE-2026-4630 CVE-2026-37979 CVE-2026-37978 CVE-2026-37981

Themen

hoch

Vollständigen Artikel lesen bei CERT-Bund

Erwähnte CVEs (9)

CVE-2026-7504HIGH(8.1)

EPSS 0.6%

A flaw was found in Keycloak's URL validation logic during redirect operations. By crafting a malicious request, an attacker could bypass validation to redirect users to unauthorized URLs, potentially leading to the exposure of sensitive information within the domain or facilitating further attacks. This vulnerability specifically affects Keycloak clients configured with a wildcard (*) in the "Valid Redirect URIs" field and requires user interaction to be successfully exploited. The issue stems from a discrepancy in how Keycloak and the underlying Java URI implementation handle the user-info component of a URL. If a malicious redirect URL is constructed using multiple @ characters in the user-info section, Java's URI parser fails to extract the user-info, leaving only the raw authority field. Consequently, Keycloak's validation check fails to detect the malformed user-info, falls back to a wildcard comparison, and incorrectly permits the malicious redirect.

Details NVD

CVE-2026-7307HIGH(7.5)

EPSS 0.9%

A flaw was found in Keycloak. A remote, unauthenticated attacker can send a specially crafted XML input to the Security Assertion Markup Language (SAML) endpoint. This malicious input can cause high CPU usage and worker thread starvation, leading to a Denial of Service (DoS) where the server becomes unavailable.

Details NVD

CVE-2026-7507HIGH(7.5)

EPSS 0.8%

A session fixation vulnerability was found in Keycloak's login-actions endpoints. An unauthenticated attacker could exploit this flaw by pre-creating an authentication session and tricking a victim into visiting a maliciously crafted link. By leveraging the /login-actions/restart endpoint—which processes session handles without adequate CSRF protection or cookie ownership validation—an attacker can reset the authentication flow state. This causes Single Sign-On (SSO) to authenticate the victim transparently upon clicking the link, allowing the attacker to hijack the required-action form without needing the victim's credentials. A successful exploit could lead to complete account takeover, including highly privileged administrative accounts.

Details NVD

CVE-2026-7571HIGH(7.1)

EPSS 0.4%

A flaw was found in Keycloak. A low-privilege user, with knowledge of user credentials and client ID, can bypass a security control intended to disable the implicit flow in OpenID Connect (OIDC) clients. By manipulating client data during a session restart, an attacker can obtain an access token that should not be available. This vulnerability can also lead to the exposure of these access tokens in server logs, proxy logs, and HTTP Referrer headers, resulting in sensitive information disclosure.

Details NVD

CVE-2026-37982MEDIUM(6.8)

EPSS 0.4%

A flaw was found in Keycloak. This authentication vulnerability allows a remote attacker to replay `ExecuteActionsActionToken` tokens within Keycloak's WebAuthn (Web Authentication) flow. By intercepting an execute-actions email link, an attacker can register their own authenticator to a victim's account. This leads to unauthorized enrollment of a hardware-backed credential, enabling persistent account takeover.

Details NVD

CVE-2026-4630MEDIUM(6.8)

EPSS 0.3%

A flaw was found in Keycloak. An authenticated client could exploit an Insecure Direct Object Reference (IDOR) vulnerability in the Authorization Services Protection API endpoint. By knowing or obtaining a resource's unique identifier (UUID) belonging to another Resource Server within the same realm, the client could bypass authorization checks. This allows the client to perform unauthorized GET, PUT, and DELETE operations on resources, leading to information disclosure and potential unauthorized modification or deletion of data.

Details NVD

CVE-2026-37979MEDIUM(6.5)

EPSS 0.4%

A flaw was found in Keycloak. This access control vulnerability in Keycloak's OpenID Connect (OIDC) token introspection endpoint allows a confidential client to bypass audience restrictions. An attacker-controlled client with valid credentials can retrieve sensitive token claims intended for other resource servers, compromising the confidentiality of lightweight access tokens. This issue can be exploited remotely by any confidential client in the realm with valid credentials.

Details NVD

CVE-2026-37978MEDIUM(4.9)

EPSS 0.4%

A flaw was found in Keycloak. A low-privilege administrator with the 'view-clients' role can exploit this by invoking the 'evaluate-scopes' Admin API endpoints with an arbitrary user ID (userId) parameter. This vulnerability allows for cross-role personally identifiable information (PII) leakage, enabling unauthorized visibility into user identities and authorizations across the realm. Exploitation is possible remotely via network access to the Admin API.

Details NVD

CVE-2026-37981MEDIUM(4.3)

EPSS 0.4%

A flaw was found in Keycloak. A broken access control vulnerability in the Account Resources user lookup endpoint allows a remote authenticated user, who owns at least one User-Managed Access (UMA) resource, to enumerate and harvest personally identifiable information (PII) for all realm users. By sending crafted requests with arbitrary usernames or email values, the endpoint returns full profile objects for unrelated users. This leads to broad profile-level information disclosure.

Details NVD