平台
java
组件
keycloak
修复版本
26.2.15
26.2.15
26.4.14
CVE-2026-4325 is a security vulnerability discovered in Keycloak related to the SingleUseObjectProvider, a global key-value store. Due to a lack of proper type and namespace isolation, an attacker can delete arbitrary single-use entries, potentially leading to the replay of consumed action tokens like password reset links and subsequent unauthorized access or account compromise. This vulnerability impacts Keycloak versions 26.2.15 and above, and a fix is expected in a future release.
在 Keycloak (Red Hat Build 版本 26.2) 中发现了一个安全漏洞，CVE ID 为 CVE-2026-4325。此漏洞存在于全局键值存储 SingleUseObjectProvider 组件中。由于缺乏适当的类型和命名空间隔离，攻击者可以删除任意的单次使用条目。这可能允许重放已消费的操作令牌，例如密码重置链接，从而导致未经授权的访问或帐户泄露。CVSS 分数为 5.3，表明存在中等风险。系统管理员应尽快将 Keycloak 更新到已修补的版本，以减轻此风险。
拥有 Keycloak 访问权限的攻击者，无论是通过系统其他部分的漏洞还是通过受损的凭据，都可能利用此漏洞。攻击者可以操纵 SingleUseObjectProvider 以删除已使用的密码重置令牌。然后，他们可以使用这些令牌重置用户帐户密码，从而获得未经授权的访问。利用不需要底层操作系统中的提升权限，但需要访问 Keycloak 环境。利用的复杂性取决于 Keycloak 配置和现有的安全措施。缺乏类型和命名空间隔离会简化单次使用对象存储的操纵。
漏洞利用状态
EPSS
0.04% (11% 百分位)
CISA SSVC
建议的解决方案是将 Keycloak 更新到包含 CVE-2026-4325 修复的版本。Red Hat 正在开发补丁程序，预计很快可用。在此期间，作为临时缓解措施，请审查并限制对 SingleUseObjectProvider 的访问权限。此外，请监控 Keycloak 日志，以查找可疑活动，例如条目异常删除或尝试重放令牌。建议用户实施多因素身份验证 (MFA)，以增加额外的安全层，即使该漏洞被利用。保持软件更新并遵循安全最佳实践对于保护您的 Keycloak 环境至关重要。
Actualice Keycloak a la versión 26.2.15 o superior, o a la versión 26.4.14 o superior. Esta actualización corrige una vulnerabilidad que permite a un atacante eliminar entradas de uso único, lo que podría permitir la repetición de tokens de acción consumidos, como los enlaces de restablecimiento de contraseña, lo que podría conducir a un acceso no autorizado o al compromiso de la cuenta.
漏洞分析和关键警报直接发送到您的邮箱。
它是 Keycloak 的一个组件，用于临时存储单次使用的数据，例如密码重置令牌。
它可能允许攻击者在未经用户同意的情况下重置用户密码，从而危及他们的帐户。
限制对 SingleUseObjectProvider 的访问以及启用多因素身份验证 (MFA) 是临时措施。
Red Hat 正在开发补丁程序，预计很快可用。请查看 Red Hat 的官方资源以获取更新。
立即更改您的密码并联系您的 Keycloak 管理员以调查事件。
CVSS 向量
上传你的 pom.xml 文件，立即知道是否受影响。