CVE-2026-15571
Publiée le 2026-08-18 · Dernière modification le 2026-08-20
Les serveurs d'identité Keycloak sont affectés par une faille dans l'ancienne fonctionnalité de liaison de comptes. Un attaquant peut prendre le contrôle du compte d'un utilisateur en le poussant à cliquer sur un lien malveillant et à s'authentifier via un client OIDC frauduleux. Cela nécessite un accès réseau ainsi qu'une interaction de l'utilisateur, bien que l'attaquant doive préalablement posséder un compte avec des privilèges restreints sur le système.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A flaw was found in the legacy client-initiated account-linking endpoint of Keycloak, a widely used open-source identity and access management solution. The mechanism used to protect the account-linking process from unauthorized requests relies on a hash that can be predicted by a malicious OIDC client. By tricking a user into authenticating, an attacker-controlled client can forge a valid linking URL to connect the victim's account to an attacker's external identity. This results in a full account takeover, allowing the attacker to log in as the victim.