PT-2026-55772
CVE-2026-14781
·
تاريخ النشر
2026-07-05
·
تاريخ التحديث
2026-10-17
الوصف من
CVSS 3.1
4.8
متوسطةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Keycloak (لم يتم تحديد الإصدارات المتأثرة)
الوصف
تؤدي ثغرة في حزمة
org.keycloak.broker.oidc إلى قيام وسيط OIDC بمزامنة المطالبة email verified بشكل غير صحيح. عندما يتم تكوين مزود هوية OIDC بقيمة trustEmail=true ويتم تمكين نقطة نهاية userinfo، يسترد Keycloak عنوان البريد الإلكتروني من استجابة userinfo ولكنه يأخذ حالة email verified من id token فقط. ونظرًا لعدم وجود عملية تحقق للتأكد من أن المطالبة email verified في id token تتطابق مع عنوان البريد الإلكتروني الوارد من نقطة نهاية userinfo، يمكن تطبيق المطالبة email verified=true من id token على عنوان بريد إلكتروني مختلف يتم إرجاعه من نقطة نهاية userinfo. يحدث هذا إذا سيطر المهاجم على مزود OIDC الأساسي أو اخترقه. وقد يؤدي ذلك إلى وضع علامة «تم التحقق» على عناوين بريد إلكتروني عشوائية في قاعدة البيانات، مما يتسبب في تجاوز الضوابط الأمنية القائمة على البريد الإلكتروني، أو الاستيلاء المحتمل على الحساب إذا كان التطبيق يعتمد على علامة email verified لربط الحساب.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
كإجراء تخفيفي مؤقت، قم بتعيين
trustEmail على false لمزودي الهوية OIDC أو قم بتعطيل نقطة نهاية userinfo. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾