4.2 Moyenne

CVE-2026-118030 Keycloak-services: keycloak-services: hotp race condition allows single otp code reuse across concurrent logins

Description

A flaw was found in the HOTP authentication mechanism of the keycloak-services component, which provides identity and access management services. The issue occurs because the system validates a one-time password and updates its internal counter in two separate steps without proper locking. An attacker with a users password could exploit this timing gap to use a single one-time code to log in multiple times simultaneously.

Détail CVSS 3.1

CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:N

Exploitable à distance par le réseau, avec un compte ordinaire et sans action d’un utilisateur ; l’impact sur les données ou le service reste limité.

Vecteur d’attaque: Réseau
Complexité: Élevée
Privilèges requis: Faibles
Interaction: Aucune
Portée: Inchangée
Confidentialité: Faible
Intégrité: Faible
Disponibilité: Aucun

Produits et versions touchés

Produit	Versions touchées	Corrigé en
Red Hat Build of Keycloak	Versions non publiées
Red Hat Single Sign-On 7	Versions non publiées

Références

access.redhat.com access.redhat.com
RHBZ#2562005 bugzilla.redhat.com

Chronologie

Publiée 29 octobre 2026
Dernière modification 6 novembre 2026

Les 276 CVE de Red Hat Build of Keycloak →

CVE-2026-9797 Keycloak: keycloak: privilege escalation via client authentication manipulation by an authenticated administrator 6.5 Moyenne CVE-2026-97848 Keycloak-services: keycloak-services: protocol mapper with jsontype=json bypasses token sanitization 6.5 Moyenne CVE-2026-97367 Keycloak-services: keycloak-services: dcr azp and sid claim substitution allows account rest session takeover 6.4 Moyenne CVE-2026-96547 Keycloak-services: keycloak-services: dcr registration-time claim-path gap allows forging realm_access.roles 6.5 Moyenne

Suivre cette CVE