CVE-2026-1529

AltoPubblicato

Org.keycloak.services.resources.organizations: keycloak: registrazione non autorizzata dell'organizzazione tramite una convalida impropria del token di invito

Pubblicato: 9 feb 2026
Aggiornato: 15 lug 2026
Assegnazione CNA: redhat
Evidenza osservata: 25 ago 2026

CVSS primario

8,1/ 10Alto

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

Stima della probabilità EPSS

0,5%

Basso · prossimi 30 giorni

Percentile: 39,1%
Data del modello: 21 set 2026

L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.

Riepilogo

Una vulnerabilità è stata riscontrata in Keycloak. Un attaccante può sfruttare questa vulnerabilità modificando l'ID dell'organizzazione e l'email di destinazione all'interno del payload JSON Web Token (JWT) di un token di invito legittimo. Questa mancanza di verifica della firma crittografica consente all'attaccante di registrarsi con successo in un'organizzazione non autorizzata, portando ad un accesso non autorizzato.

Fonti

CVE-2026-1529Exploit
Keycloak: Registrazione non autorizzata dell'organizzazione tramite una convalida impropria del token di invito
CVE-2026-1529-PoC-keycloak-unauthorized-registration-via-improper-invitation-token-validationPoC
Strumento di exploit per CVE-2026-1529, che dimostra la registrazione non autorizzata di organizzazioni in Keycloak tramite manipolazione del token JWT. Include generazione del token, manipolazione e registrazione utente con generazione di report.
CVE-2026-1529-PoC-keycloak-unauthorized-registration-via-improper-invitation-token-validation

Utilizzo responsabile

Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.