CVE-2026-97175 Vínculo automático de cuentas por email no verificado en Keycloak permite toma de cuenta
Una falla en el autenticador idp-auto-link de keycloak-services hace que Keycloak vincule automáticamente una identidad entrante de un proveedor externo a una cuenta local existente según la dirección de email, sin verificar que el proveedor haya validado ese email. Un atacante podría tomar la cuenta de una víctima usando un email no verificado coincidente en un proveedor intermediado.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,4 % · percentil 29
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Red Hat Red Hat build of Keycloak 26.4.17
Versiones no especificadas.
Red Hat Red Hat build of Keycloak 26.4.17
Versiones no especificadas.
Red Hat Red Hat build of Keycloak 26.6.8
Versiones no especificadas.
Red Hat Red Hat build of Keycloak 26.6.8
Versiones no especificadas.
Red Hat Red Hat Single Sign-On 7
Versiones no especificadas.
Qué hacer
- Verificá si usás Red Hat build of Keycloak 26.4.17.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 8.8 ALTA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
Descripción original
A flaw was found in the idp-auto-link authenticator of the keycloak-services component, which handles user identity federation. The issue occurs when Keycloak automatically links an incoming identity from an external provider to an existing local account based on an email address without verifying if the provider has validated that email. This can allow an attacker to take over a victim's account by using a matching unverified email address at a brokered provider.
Referencias (5)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.