6

CVE-2025-12390

A flaw was found in Keycloak. In Keycloak where a user can accidentally get access to another user's session if both use the same device and browser. This happens because Keycloak sometimes reuses session identifiers and doesn’t clean up properly during logout when browser cookies are missing. As a result, one user may receive tokens that belong to another user.
Verknüpft mit AI von unstrukturierten Daten zu bestehenden CPE der NVD
Diese Information steht angemeldeten Benutzern zur Verfügung. Login Login
Daten sind bereitgestellt durch das CVE Programm von einer CVE Numbering Authority (CNA) (Unstrukturiert).
HerstellerRed Hat
≫
Produkt Red Hat build of Keycloak 26.2
Default Statusaffected
Version < *
Version 26.2.11-1
Status unaffected
HerstellerRed Hat
≫
Produkt Red Hat build of Keycloak 26.2
Default Statusaffected
Version < *
Version 26.2-12
Status unaffected
HerstellerRed Hat
≫
Produkt Red Hat build of Keycloak 26.2
Default Statusaffected
Version < *
Version 26.2-12
Status unaffected
HerstellerRed Hat
≫
Produkt Red Hat build of Keycloak 26.2.11
Default Statusunaffected
HerstellerRed Hat
≫
Produkt Red Hat build of Keycloak 26.4
Default Statusaffected
Version < *
Version 26.4.4-1
Status unaffected
HerstellerRed Hat
≫
Produkt Red Hat build of Keycloak 26.4
Default Statusaffected
Version < *
Version 26.4-3
Status unaffected
HerstellerRed Hat
≫
Produkt Red Hat build of Keycloak 26.4
Default Statusaffected
Version < *
Version 26.4-3
Status unaffected
HerstellerRed Hat
≫
Produkt Red Hat build of Keycloak 26.4.4
Default Statusunaffected
Zu dieser CVE wurde keine CISA KEV oder CERT.AT-Warnung gefunden.
EPSS Metriken
Typ Quelle Score Percentile
EPSS FIRST.org 0.01% 0.017
CVSS Metriken
Quelle Base Score Exploit Score Impact Score Vector String
secalert@redhat.com 6 0.8 5.2
CVSS:3.1/AV:L/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:N
CWE-384 Session Fixation

Authenticating a user, or otherwise establishing a new user session, without invalidating any existing session identifier gives an attacker the opportunity to steal authenticated sessions.