CVE-2026-9799
Təsvir
org.keycloak.authorization-da qüsur aşkar edilib. Bir resurs üçün verilmiş User-Managed Access (UMA) icazə bileti olan autentifikasiyadan keçmiş istifadəçi xüsusi icazə sorğusu prefiksindən istifadə edərək hər resurs üzrə giriş nəzarətindən yan keçə bilər. Bu, istifadəçiyə həmin xüsusi resurslar üçün bileti olmasa belə, eyni resurs serveri daxilində həmin tipdə olan bütün resurslara icazəsiz giriş əldə etməyə imkan verir. Bu zəiflik resurs serverinin PERMISSIVE siyasət tətbiqi rejimində konfiqurasiya edilməsini tələb edir və ownerManagedAccess aktivləşdirilmiş tipli resurslara təsir göstərir, burada resurs tipini heç bir açıq siyasət qorumur. Əsas nəticə resursların icazəsiz açıqlanması və ya dəyişdirilməsidir.
Necə düzəltmək olar
- redhat build_of_keycloak26.4.13, 26.6.4 və ya daha yeni versiya
- org.keycloak:keycloak-services26.6.4 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| redhat build_of_keycloak | 26.4 ≤ v < 26.4.13, 26.6 ≤ v < 26.6.4 | 26.4.13, 26.6.4 |
| org.keycloak:keycloak-servicesMaven | v < 26.6.4 | 26.6.4 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.