CVE-2025-11537— Keycloak 安全漏洞
获取后续新漏洞提醒登录后订阅
一、 漏洞 CVE-2025-11537 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗ 尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Keycloak-server: sensitive headers shown in the http access logs
来源: 美国国家漏洞数据库 NVD
Vulnerability Description
A flaw was found in Keycloak. When the logging format is configured to a verbose, user-supplied pattern (such as the pre-defined 'long' pattern), sensitive headers including Authorization and Cookie are disclosed to the logs in cleartext. An attacker with read access to the log files can extract these credentials (e.g., bearer tokens, session cookies) and use them to impersonate users, leading to a full account compromise.
来源: 美国国家漏洞数据库 NVD
CVSS Information
CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:N/A:N
来源: 美国国家漏洞数据库 NVD
Vulnerability Type
日志输出的转义处理不恰当
来源: 美国国家漏洞数据库 NVD
Vulnerability Title
Keycloak 安全漏洞
来源: 中国国家信息安全漏洞库 CNNVD
Vulnerability Description
Keycloak是Keycloak开源的一种开源身份和访问管理解决方案。 Keycloak存在安全漏洞，该漏洞源于当日志格式配置为详细用户提供模式时，敏感标头会以明文形式泄露到日志中，可能导致具有日志文件读取权限的攻击者提取凭据并冒充用户，造成账户完全接管。
来源: 中国国家信息安全漏洞库 CNNVD
CVSS Information
N/A
来源: 中国国家信息安全漏洞库 CNNVD
Vulnerability Type
N/A
来源: 中国国家信息安全漏洞库 CNNVD
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| Red Hat | Red Hat Build of Keycloak | - | cpe:/a:redhat:build_keycloak: |
二、漏洞 CVE-2025-11537 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2025-11537 的情报信息
请登录查看更多情报信息。
IV. Related Vulnerabilities
V. Comments for CVE-2025-11537
暂无评论