CVE-2026-7507 in Keycloak
الملخص
بحسب VulDB • 19/05/2026
تم العثور على ثغرة تثبيت الجلسة (Session Fixation) في نقاط نهاية login-actions الخاصة بـ Keycloak. يمكن لمهاجم غير مصادق عليه استغلال هذا القصور من خلال إنشاء جلسة مصادقة مسبقاً وخداع الضحية لزيارة رابط مُعدّ بشكل خبيث. ومن خلال الاستفادة من نقطة النهاية /login-actions/restart—which تعالج مقابض الجلسة دون حماية CSRF كافية أو التحقق من ملكية ملفات تعريف الارتباط (Cookies)—يمكن للمهاجم إعادة تعيين حالة تدفق المصادقة. يؤدي هذا إلى مصادقة الضحية بشكل شفاف عبر نظام الدخول الموحد (SSO) عند النقر على الرابط، مما يتيح للمهاجم اختطاف نموذج الإجراء المطلوب دون الحاجة إلى بيانات اعتماد الضحية. قد يؤدي الاستغلال الناجح إلى الاستيلاء الكامل على الحساب، بما في ذلك الحسابات الإدارية ذات الامتيازات العالية.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.