Forced Logout in keycloak-connect

TRUNG BÌNH 5.5CVE-2019-10157 · GHSA-68hw-vfh7-xvg8 · Công bố 12/06/2019 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2019-10157 là lỗ hổng mức TRUNG BÌNH (CVSS 5.5) ảnh hưởng keycloak (redhat), single sign-on (redhat), keycloak-connect.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.21%, cao hơn 10.9% các lỗ hổng khác.
Cách xử lý: cập nhật lên 4.8.3, 7.3.2 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
keycloak redhat	`< 4.8.3`	`4.8.3`
single sign-on redhat	`< 7.3.2`	`7.3.2`
keycloak-connect npm	`< 4.8.3`	`4.8.3`

Mô tả

Versions of keycloak-connect prior to 4.4.0 are vulnerable to Forced Logout. The package fails to validate JWT signatures on the /k_logout route, allowing attackers to logout users and craft malicious JWTs with NBF values that prevent user access indefinitely.

Recommendation

Upgrade to version 4.4.0 or later.

Mô tả của NVD

It was found that Keycloak's Node.js adapter before version 4.8.3 did not properly verify the web token received from the server in its backchannel logout . An attacker with local access could use this to construct a malicious web token setting an NBF parameter that could prevent user access indefinitely.