CVE-2026-1529

AltoPublicado

Org.keycloak.services.resources.organizations: keycloak: registro de organización no autorizado mediante una validación incorrecta del token de invitación

Publicado: 9 feb 2026
Actualizado: 15 jul 2026
Asignación de CNA: redhat
Evidencia observada: 25 ago 2026

CVSS primario

8,1/ 10Alto

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

Estimación de probabilidad EPSS

0,5 %

Bajo · próximos 30 días

Percentil: 41,0 %
Fecha del modelo: 15 oct 2026

EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.

Resumen

Se encontró una falla en Keycloak. Un atacante puede explotar esta vulnerabilidad modificando el ID de la organización y el correo electrónico de destino dentro de la carga útil (payload) de un JSON Web Token (JWT) de un token de invitación legítimo. Esta falta de verificación de firma criptográfica permite al atacante registrarse exitosamente en una organización no autorizada, lo que lleva a un acceso no autorizado.

Fuentes

CVE-2026-1529Exploit
Keycloak: Registro de organización no autorizado mediante una validación incorrecta del token de invitación
CVE-2026-1529-PoC-keycloak-unauthorized-registration-via-improper-invitation-token-validationPoC
Herramienta de explotación para CVE-2026-1529, que demuestra el registro no autorizado de organizaciones en Keycloak mediante la manipulación de tokens JWT. Incluye generación de tokens, manipulación y registro de usuarios con generación de informes.
CVE-2026-1529-PoC-keycloak-unauthorized-registration-via-improper-invitation-token-validationExploit

Uso responsable

Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.