CVE-2026-118959

CVSS 5.4 MEDIUM Truy cập trái phép

Công bố: 2026-10-30
Cập nhật: 2026-10-30
Lần đầu thấy: 2026-10-31
Nguồn: NVD

Mô tả

A flaw was found in the required action provider mechanism of Keycloak. The issue occurs when an authorization request includes the kc_action query parameter set to a mandatory action already assigned to the user, such as profile verification or terms and conditions. Due to incorrect handling of application-initiated actions, Keycloak may skip these mandatory challenges and issue an authorization code. This can allow a user to bypass administrative requirements and gain access to the application without completing necessary profile updates or agreeing to terms.

Điểm và phân loại

CVSS: 5.4 MEDIUM v3.1
Nguồn điểm: NVD
Mức độ (theo nguồn): MEDIUM
EPSS: —
CWE: CWE-287

Vector CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N

Ảnh hưởng

Sản phẩm

Red Hat Red Hat Build of Keycloak
Red Hat Red Hat Single Sign-On 7

Vì sao bị lọc

CVSS 5.4 < 8.0 và không thuộc CISA KEV

Loại tác động

Truy cập trái phép: CWE-287