Red Hat Build Of Keycloak 2668

Vulnerabilities related to Red Hat Build Of Keycloak 2668 73

• Medium 6.8 A flaw was found in Keycloak. The Dynamic Client Registration (DCR) endpoint does not properly... CVE-2026-109081 Nov 6, 14:57
• Medium 6.4 A flaw was found in the OIDC logout endpoint of the keycloak-services component, which handles... CVE-2026-107124 Nov 6, 10:05
• Medium 6.5 A flaw was found in the token sanitization logic of Keycloak, an open source identity and access... CVE-2026-97848 Nov 6, 10:05
• Medium 6.4 A flaw was found in the Keycloak Account REST API where it incorrectly handles session... CVE-2026-97367 Nov 6, 10:05
• Medium 6.5 A flaw was found in the Dynamic Client Registration component of Keycloak, an open-source... CVE-2026-96547 Nov 6, 10:05
• Medium 5.4 A flaw was found in the token exchange mechanism of Keycloak. When using Standard Token Exchange... CVE-2026-96460 Nov 6, 10:05
• Medium 4.2 A flaw was found in the TokenManager component of Keycloak, an open-source identity and access... CVE-2026-96447 Nov 6, 10:05
• Medium 4.9 A flaw was found in the SAML brokering component of Keycloak, an identity and access management... CVE-2026-92856 Nov 6, 10:05
• Medium 6.8 A flaw was found in the Admin REST API of Keycloak, an identity and access management solution.... CVE-2026-19688 Nov 6, 09:05
• High 7.1 Keycloakの脆弱性、クライアント管理者がレルム管理者になりすませる Keycloakでは、クライアント管理の権限しかない利用者が、ハードコードされたクレームのマッパーを使ってセッションのないサービスアカウントのトークンを書き換え、レルム管理者になりすませる脆弱性が見つかりました。その結果、レルム全体を支配される可能性があります。CVSSは7.1で、深刻度は高とされています。修正版の情報は事実にないため、最新の情報を確認してください。 CVE-2026-97847 Nov 6, 02:16
• High 8.8 Keycloakのidp-auto-linkに脆弱性、アカウントを乗っ取られるおそれ Keycloak-servicesのidp-auto-linkで、外部IdPのメールアドレスが検証されていなくても既存のローカルアカウントに自動でリンクされる脆弱性が見つかりました。CVSSは8.8です。攻撃者は、被害者と同じ未検証のメールアドレスを外部プロバイダーで使うことで、アカウントを乗っ取れるおそれがあります。修正版の情報は確認できていないため、最新の情報を確認してください。 CVE-2026-97175 Nov 6, 02:16
• Medium 6.8 A flaw was found in the Client-Initiated Backchannel Authentication (CIBA) implementation of... CVE-2026-97174 Nov 6, 02:15
• High 8.0 Keycloak Admin CLIのkcadmで自己署名証明書を受け入れてしまう脆弱性 Keycloak Admin CLIのkcadmで、カスタムのtruststoreを指定したときに、ホスト名が一致すれば任意の自己署名証明書を受け入れてしまう脆弱性が見つかりました。ネットワーク上の攻撃者がKeycloakサーバーになりすまし、管理者の認証情報を盗んで不正な管理操作を行うおそれがあり、CVSSは8です。修正版の有無は公表されていないため、最新の情報を確認してください。 CVE-2026-96453 Nov 6, 02:15
• High 7.4 Keycloakの SAMLアダプターに認証を回避される脆弱性 Keycloakの SAMLアダプターで、署名付きアサーションの発行元が設定済みのIDプロバイダーと一致するかの確認が不十分です。同じ署名鍵を共有する複数のIDプロバイダーがある場合、そのうちの一つを管理する攻撃者が、任意のユーザーとしてアプリケーションにログインできるおそれがあります。CVSSは7.4です。修正版の情報は確認できていないため、最新の情報を確認してください。 CVE-2026-93998 Nov 6, 02:15
• High 8.1 Keycloakの脆弱性、トークンのsubやaudを偽装されるおそれ Keycloakのクライアント動的登録機能に検証の不備があり、登録権限を持つ攻撃者が、署名付きトークンのユーザーIDや想定先を偽装できるおそれがあります。他人になりすまされたり、トークンに頼る各種サービスへ不正にアクセスされたりするおそれがあり、CVSSは8.1で重要度は高とされています。影響を受ける版と修正版は公表時点で確認できていないため、最新の情報を確認してください。 CVE-2026-92857 Nov 6, 02:15
• High 7.4 KeycloakのSAML連携で、正当な鍵の所持を確かめず認証を回避される脆弱性 Keycloakは、SAMLの仕組みで外部の認証基盤に認証を任せる機能を持ちます。この機能では、holder-of-keyのアサーションを受け取ったとき、利用者が対応する秘密鍵を持っているかを確認しておらず、傍受したアサーションを再利用されて本人になりすまされるおそれがあります。CVSSは7.4です。影響を受ける版や修正版はまだ公表されていないため、最新の情報を確認してください。 CVE-2026-92855 Nov 6, 02:15
• High 7.5 Keycloakのsamlエンドポイントに認証なしで大量のXMLを送られサービス停止に至る脆弱性 Keycloakのsamlエンドポイントで、受け取るXMLのサイズや複雑さに上限がないため、認証なしの遠隔からの攻撃でサービス停止に至る脆弱性が公表されました。細工した大きなXMLを送られるとサーバーのメモリが使い果たされ、全利用者が利用できなくなるおそれがあります。影響する版と修正版は公表時点の情報では確認できないため、最新の情報を確認してください。 CVE-2026-82965 Nov 6, 02:14
• High 8.1 Keycloakで他ユーザーのリソースにアクセスされる脆弱性 Keycloakの認可サーバーに、ユーザーが作成するポリシーの検証が不十分な脆弱性が見つかりました。攻撃者は他のユーザーが所有するリソースに適用されるポリシーを作成でき、レルム内の機密データに不正にアクセスされたり、改変されたりするおそれがあります。CVSSは8.1で、深刻度は高とされています。修正版の情報は確認できていないため、最新の情報を確認してください。 CVE-2026-114232 Nov 6, 01:05
• High 8.1 Keycloakで認証を回避され被害者のアカウントを乗っ取られる脆弱性 Keycloakの組織向けの識別子優先ログインで、認証を回避され、被害者のアカウントと連携アプリに全権でアクセスされるおそれのある脆弱性です。CVSSは8.1で、深刻度は高とされています。修正版の情報は現時点で確認できていないため、最新の情報を確認してください。 CVE-2026-112208 Nov 6, 01:05
• High 7.5 Keycloakの脆弱性、認証なしでディスク容量を枯渇させられるおそれ Keycloakのテーマリソース用エンドポイントに脆弱性が見つかり、認証されていない攻撃者が大量のリクエストを送ることでディスク容量を使い切らせられるおそれがあります。ディスクの枯渇は再起動後も残るため、サービスの停止につながるおそれがあります。CVSSは7.5で、修正版と対応状況は公表されていないため、最新の情報を確認してください。 CVE-2026-110932 Nov 6, 01:04
• High 7.5 Keycloakのサービスが認証なしで停止させられる脆弱性 Keycloakは、SAML 1.1のアサーション解析処理に脆弱性があり、認証なしで送られた細工済みの入力により解析が無限ループに入ってメモリを使い切り、サービス全体が停止するおそれがあります。CVSSは7.5（高）で、過去の脆弱性に対する修正が不完全だったことが原因です。修正版の情報は現時点で確認できていないため、最新の情報を確認してください。 CVE-2026-110931 Nov 6, 01:04
• High 7.5 Keycloakの脆弱性で未認証の攻撃によりCPUが枯渇しサービス停止のおそれ KeycloakのSAML 1.1のXML解析処理に脆弱性が見つかりました。細工したリクエストを送られると処理スレッドが無限ループに入り、CPU使用率が100%になって認証基盤が停止するおそれがあります。認証なしで攻撃できるうえCVSSは7.5で、停止するとサーバーの再起動が必要になるため、早めの確認をおすすめします。修正版の情報は事実に含まれていないため、最新の情報を確認してください。 CVE-2026-107602 Nov 6, 01:04
• High 7.5 Keycloakの脆弱性、認証なしで送られたSAMLリクエストによりサービス停止のおそれ Keycloakは、SAMLのXML処理で長すぎるdateTimeや期間の値を十分に検証せず、CPUを使い尽くされる脆弱性です。認証のない攻撃者が細工したSAMLリクエストを送ると、サーバーのCPU使用率が高まり、すべての利用者がサービスを使えなくなるおそれがあります。CVSSは7.5で、今回の情報では修正版は示されていないため、最新の情報を確認してください。 CVE-2026-107123 Nov 6, 01:04
• High 7.5 Keycloakの脆弱性、認証の競合状態を突かれアカウントを乗っ取られるおそれ Keycloakのkeycloak-servicesで、認証セッションの扱いに脆弱性が見つかりました。認証済みの攻撃者が資格情報のリセット処理中に競合状態を起こすと、ほかのユーザーのセッションに自分の認証状態を結び付けられ、被害者のアカウントを乗っ取ってパスワードを変更されるおそれがあります。深刻度はHigh、CVSSは7.5です。修正版の情報は確認できていないため、最新の情報を確認してください。 CVE-2026-103112 Nov 6, 01:04
• Medium 5.5 Cross-Site Scripting (XSS) in Keycloak Cross-site scripting in Keycloak (CVE-2026-107889). Risk of unauthorized operations or information disclosure. CVE-2026-107889 Oct 9, 14:16
• Medium 4.3 Vulnerability in Keycloak CVE-2026-107623 Oct 9, 00:33
• Medium 6.5 A flaw was found in the SMTP email configuration handling of the keycloak-services component.... Vulnerability reported (CVE-2026-107121). Confidential information can be exposed externally. CVE-2026-107121 Oct 7, 17:16
• Medium 5.4 Authentication Bypass in Keycloak CVE-2026-105305 Oct 6, 17:16
• Medium 6.5 Path Traversal in Keycloak CVE-2026-103884 Oct 2, 03:17
• Low 3.7 Vulnerability in Keycloak CVE-2026-101333 Sep 29, 00:17