8.8 Élevée

CVE-2026-97175 Keycloak-services: keycloak-services: unverified idp email auto-linking enables account takeover

Description

A flaw was found in the idp-auto-link authenticator of the keycloak-services component, which handles user identity federation. The issue occurs when Keycloak automatically links an incoming identity from an external provider to an existing local account based on an email address without verifying if the provider has validated that email. This can allow an attacker to take over a victim's account by using a matching unverified email address at a brokered provider.

Détail CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Exploitable à distance par le réseau, avec un compte ordinaire et sans action d’un utilisateur ; un attaquant peut compromettre gravement la confidentialité, l’intégrité ou la disponibilité.

Vecteur d’attaque: Réseau
Complexité: Faible
Privilèges requis: Faibles
Interaction: Aucune
Portée: Inchangée
Confidentialité: Élevé
Intégrité: Élevé
Disponibilité: Élevé

Produits et versions touchés

Produit	Versions touchées	Corrigé en
Red Hat Build of Keycloak	Versions non publiées
Red Hat Single Sign-On 7	Versions non publiées

Références

access.redhat.com access.redhat.com

Chronologie

Publiée 5 novembre 2026
Dernière modification 5 novembre 2026

Les 266 CVE de Red Hat Build of Keycloak →

CVE-2026-97847 Keycloak-services: keycloak-services: client manager can substitute sessionless token principal via hardcoded-claim mappers to obtain realm administrator authority 7.1 Élevée CVE-2026-97174 Keycloak-services: keycloak-services: ciba sub parameter injection causes attacker authentication to issue victim tokens 6.8 Moyenne CVE-2026-96453 Org.keycloak/keycloak-admin-cli: keycloak-admin-cli: kcadm custom truststore accepts arbitrary self-signed certificates 8.0 Élevée CVE-2026-93998 Keycloak-core: keycloak-core: saml adapter does not bind signed assertions to the configured identity provider issuer 7.4 Élevée

Suivre cette CVE