CVE-2025-14778: Red Hat build of Keycloak 26.2, заобикаляне на вход и

5.4

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

Експлоатация: няма данни за експлоатация
Атаката не може да се автоматизира

Описание

Оригинално описание

A flaw was found in Keycloak. A significant Broken Access Control vulnerability exists in the UserManagedPermissionService (UMA Protection API). When updating or deleting a UMA policy associated with multiple resources, the authorization check only verifies the caller's ownership against the first resource in the policy's list. This allows a user (Owner A) who owns one resource (RA) to update a shared policy and modify authorization rules for other resources (e.g., RB) in that same policy, even if those other resources are owned by a different user (Owner B). This constitutes a horizontal privilege escalation.

Засегнати продукти

Red Hat Red Hat build of Keycloak 26.2: от 26.2.13-1 нататък
Red Hat Red Hat build of Keycloak 26.2: от 26.2-15 нататък
Red Hat Red Hat build of Keycloak 26.2: от 26.2-15 нататък
Red Hat Red Hat build of Keycloak 26.2.13
Red Hat Red Hat build of Keycloak 26.4: от 26.4.9-1 нататък
Red Hat Red Hat build of Keycloak 26.4: от 26.4-11 нататък
Red Hat Red Hat build of Keycloak 26.4: от 26.4-10 нататък
Red Hat Red Hat build of Keycloak 26.4.9

CVE-2025-14778: Red Hat build of Keycloak 26.2, заобикаляне на вход и

Описание

Засегнати продукти

Вид слабост

История

Други уязвимости в Red Hat Red Hat build of Keycloak 26.2

Първоизточници