Um flaw crítico foi encontrado no reset-credentials flow do componente keycloak-services, que é o motor central para gerenciamento de identidade e acesso no Red Hat Build of Keycloak. A vulnerabilidade, identificada como CVE-2026-18963, permite que um atacante não autenticado force o processo de reset de senha para qualquer usuário sem a necessidade de clicar no link de verificação de e-mail exigido. Isso pode resultar no atacante obtendo controle total sobre as contas de usuário alvo, definindo diretamente novas credenciais.
Detalhes Técnicos
CVE-2026-18963: Vulnerabilidade crítica no Keycloak que permite ataques não autenticados.
CVSS v3: 9.1 (Crítico).
Publicado em: 2026-08-18.
Fraqueza: CWE-640.
Ações Recomendadas
Aplicar os patches lançados pelo Red Hat e pelo projeto Keycloak.
Verificar se os sistemas estão atualizados com as últimas versões do Keycloak.
Implementar medidas adicionais de segurança para proteger as contas de usuário.
Próximos Passos
Verifique se seu sistema está vulnerável e aplique as atualizações necessárias.
