CVE-2026-7507 in Keycloak
Resumen
por VulDB • 2026-05-21
Se ha encontrado una vulnerabilidad de fijación de sesión en los puntos de conexión login-actions de Keycloak. Un atacante no autenticado podría explotar esta falla precreando una sesión de autenticación y engañando a una víctima para que visite un enlace maliciosamente elaborado. Al aprovechar el punto de conexión /login-actions/restart, que procesa identificadores de sesión sin una protección CSRF adecuada ni una validación adecuada de la propiedad de las cookies, un atacante puede restablecer el estado del flujo de autenticación. Esto hace que el Inicio de Sesión Único (SSO) autentique a la víctima de forma transparente al hacer clic en el enlace, lo que permite al atacante secuestrar el formulario de acción requerida sin necesidad de las credenciales de la víctima. Una explotación exitosa podría conducir a la toma de control completa de la cuenta, incluidas las cuentas administrativas con privilegios elevados.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.