CVE-2026-4325: Keycloak: Replay of action tokens via… – CVSS 5.3 · Watchpost

← 脆弱性一覧

Keycloak: Replay of action tokens via improper handling of single-use entries

中 5.3CVE-2026-4325 · BIT-keycloak-2026-4325 · GHSA-rx66-hj7g-28h7 · 02/04/2026 公開 · 26/10/2026 更新

要点

CVE-2026-4325 は org.keycloak:keycloak-services, build of keycloak (redhat) に影響する深刻度「中」 (CVSS 5.3) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.26%（全脆弱性の 17.1% より高い）。
対処：26.5.7 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
org.keycloak:keycloak-services Maven	`< 26.5.7`	`26.5.7`
build of keycloak redhat	`= 26.2= 26.2.15= 26.4= 26.4.11`	修正版なし

概要

A flaw was found in Keycloak. The SingleUseObjectProvider, a global key-value store, lacks proper type and namespace isolation. This vulnerability allows an attacker to delete arbitrary single-use entries, which can enable the replay of consumed action tokens, such as password reset links. This could lead to unauthorized access or account compromise.

NVD の説明

A flaw was found in Keycloak. The SingleUseObjectProvider, a global key-value store, lacks proper type and namespace isolation. This vulnerability allows an attacker to delete arbitrary single-use entries, which can enable the replay of consumed action tokens, such as password reset links. This could lead to unauthorized access or account compromise.

参考情報

nvd.nist.gov/vuln/detail/CVE-2026-4325 · ADVISORY
keycloak/keycloak · WEB
keycloak/keycloak commit 9046f20 · WEB
access.redhat.com/errata/RHSA-2026:6475 · WEB
access.redhat.com/errata/RHSA-2026:6476 · WEB
access.redhat.com/errata/RHSA-2026:6477 · WEB
access.redhat.com/errata/RHSA-2026:6478 · WEB
access.redhat.com/security/cve/CVE-2026-4325 · WEB
bugzilla.redhat.com/show_bug.cgi · WEB
keycloak/keycloak · PACKAGE

org.keycloak:keycloak-services のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン