CVE-2026-1529: Org.keycloak.services.resources.organizations: keycloak: 不適切な招待トークン検証による未承認の組織登録 | Kitploit

CVE-2026-1529

高公開済み

Org.keycloak.services.resources.organizations: keycloak: 不適切な招待トークン検証による未承認の組織登録

公開済み: 2026/02/09
更新済み: 2026/07/15
CNA の割り当て: redhat
観察された証拠: 2026/08/25

プライマリ CVSS

8.1/ 10高

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

EPSS 確率推定

0.5%

低 · 今後 30 日間

パーセンタイル: 39.1%
モデルの日付: 2026/09/21

EPSS は統計的な推定値であり、確実性や影響の尺度ではありません。 CVSS、KEV ステータス、暴露、環境と組み合わせます。

概要

Keycloak に脆弱性が発見されました。攻撃者は、正規の招待トークンの JSON Web Token (JWT) ペイロード内の組織 ID と送信先メールアドレスを改変することで、この脆弱性を悪用できます。この暗号署名検証の欠如により、攻撃者は不正な組織への自己登録に成功し、不正アクセスにつながる可能性があります。

ソース

CVE-2026-1529エクスプロイト
Keycloak: 不適切な招待トークン検証による不正な組織登録
CVE-2026-1529-PoC-keycloak-unauthorized-registration-via-improper-invitation-token-validationPoC
CVE-2026-1529用のエクスプロイトツール。JWTトークン操作によるKeycloakでの不正な組織登録を実証します。トークンの生成、操作、ユーザー登録、レポート生成機能を含みます。
CVE-2026-1529-PoC-keycloak-unauthorized-registration-via-improper-invitation-token-validationエクスプロイト
CVE-2026-1529（PoC）はKeycloakにおける重大な脆弱性であり、不適切な招待トークン検証により、未承認の組織登録を可能にします。このエクスプロイトツールは、JWTトークンを操作して未承認の組織にユーザーを登録することで、この脆弱性を実証します。

責任ある使用

脆弱性情報は、自分が所有しているシステム、またはテストを許可されているシステムでのみ使用してください。 Kitploit は公開研究メタデータにリンクしており、エクスプロイトコードや悪意のあるペイロードは保存しません。