Keycloak users may be able to remove MFA from other users' devices

TRUNG BÌNH 4.7CVE-2020-10686 · GHSA-9695-w6h2-jpv9 · Công bố 04/05/2020 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2020-10686 là lỗ hổng mức TRUNG BÌNH (CVSS 4.7) ảnh hưởng org.keycloak:keycloak-core, keycloak (redhat).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.65%, cao hơn 51.3% các lỗ hổng khác.
Cách xử lý: cập nhật lên 9.0.2 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
org.keycloak:keycloak-core Maven	`< 9.0.2`	`9.0.2`
keycloak redhat	`= 8.0.2= 9.0.0`	Chưa có bản vá

Mô tả

A community-only flaw was found where a malicious user can register himself and then uses the "remove devices" form to post different credential ids with the hope of removing MFA devices for other users.

Mô tả của NVD

A flaw was found in Keycloak version 8.0.2 and 9.0.0, and was fixed in Keycloak version 9.0.1, where a malicious user registers as oneself. The attacker could then use the remove devices form to post different credential IDs and possibly remove MFA devices for other users.