CVE-2026-14781

Nome do Software Vulnerável e Versões Afetadas Keycloak (versões afetadas não especificadas)

Descrição Uma falha no pacote org.keycloak.broker.oidc faz com que o broker OIDC sincronize incorretamente a reivindicação email verified. Quando um provedor de identidade OIDC é configurado com trustEmail=true e o endpoint userinfo está habilitado, o Keycloak recupera o endereço de e-mail da resposta do userinfo, mas obtém o status email verified exclusivamente do id token. Como não há validação para garantir que a reivindicação email verified no id token corresponda ao endereço de e-mail do endpoint userinfo, uma reivindicação email verified=true do id token pode ser aplicada a um endereço de e-mail diferente retornado pelo endpoint userinfo. Isso ocorre se um invasor controlar ou comprometer o provedor OIDC upstream. Isso pode resultar na marcação de endereços de e-mail arbitrários como verificados no banco de dados, ignorando controles de segurança baseados em e-mail ou permitindo a potencial invasão de contas se a aplicação depender da flag email verified para vincular contas.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Como medida de mitigação temporária, defina trustEmail como false para provedores de identidade OIDC ou desabilite o endpoint userinfo.