PT-2026-41880
CVE-2026-7507
·
تاريخ النشر
2026-05-19
·
تاريخ التحديث
2026-10-19
الوصف من
CVSS 2.0
7.6
عاليةالمقاييسAV:N/AC:H/Au:N/C:C/I:C/A:C
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Keycloak (لم يتم تحديد الإصدارات المتأثرة)
الوصف
توجد مشكلة في تثبيت الجلسة في نقاط نهاية login-actions. يمكن لمهاجم غير مصدق أن ينشئ مسبقًا جلسة مصادقة ويخدع الضحية لزيارة رابط ضار. باستخدام نقطة النهاية ’/login-actions/restart‘، التي تفتقر إلى الحماية الكافية من CSRF (تزوير الطلبات عبر المواقع) والتحقق من ملكية ملفات تعريف الارتباط، يمكن للمهاجم إعادة تعيين حالة تدفق المصادقة. وهذا يسمح لنظام تسجيل الدخول الأحادي (SSO) بمصادقة الضحية بشكل شفاف، مما يمكّن المهاجم من اختطاف نموذج الإجراء المطلوب دون الحاجة إلى بيانات اعتماد. وقد يؤدي ذلك إلى الاستيلاء الكامل على الحساب، بما في ذلك الحسابات الإدارية.
التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾