CVE-2025-8419

ŚrednieCVSS 5.3

Opublikowano: 06/08/2025(UTC)Zaktualizowano: 31/08/2026(UTC)Przetłumaczono: 09/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.41%

Percentyl 34 - wyżej niż 34% wszystkich znanych CVE

Streszczenie

W Keycloak-services znaleziono podatność, w której specjalne znaki użyte podczas rejestracji e-mail mogą przeprowadzić atak SMTP Injection i nieoczekiwanie wysłać krótkie niechciane e-maile. Wiadomość jest ograniczona do 64 znaków (ograniczona lokalna część adresu e-mail), więc atak jest ograniczony do bardzo krótkich wiadomości (przykład ma 60 znaków). Jedyną bezpośrednią konsekwencją jest wysłanie niechcianego e-maila z serwera Keycloak, ale może to być prekursor bardziej zaawansowanych ataków.

Ocena ryzyka

Może dojść do wysyłania niechcianych wiadomości e-mail w imieniu serwera Keycloak, co może naruszyć reputację domeny i być wykorzystane do phishingu lub innych ataków.

Rekomendacja

Zaktualizuj Keycloak do wersji zawierającej poprawkę. Dodatkowo waliduj i sanityzuj dane wejściowe w procesie rejestracji e-mail.

Inne podatności w Keycloak-services

CVE-2026-19729Średnie
Podatność w komponencie key provider biblioteki keycloak-services (rdzeń Red Hat Build of Keycloak) wynika z niekompletnej poprawki dotyczącej badania ścieżek. Administrator realm może nadal podawać dowolne ścieżki systemu plików jako parametry keystore, co pozwala na określenie istnienia i czytelności plików na serwerze, potencjalnie ujawniając wrażliwe informacje systemowe.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was found in Keycloak-services. Special characters used during e-mail registration may perform SMTP Injection and unexpectedly send short unwanted e-mails. The email is limited to 64 characters (limited local part of the email), so the attack is limited to very shorts emails (subject and little data, the example is 60 chars). This flaw's only direct consequence is an unsolicited email being sent from the Keycloak server. However, this action could be a precursor for more sophisticated attacks.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS