CVE-2025-14777
Açıklama
Keycloak'ta bir açık bulundu. Yetkilendirme kaynak yönetimi için kullanılan admin API uç noktalarında, özellikle ResourceSetService ve PermissionTicketService bileşenlerinde bir IDOR (Hatalı Erişim Kontrolü) zafiyeti bulunmaktadır. Sistem, yetkilendirmeyi API isteğinde sağlanan resourceServer (istemci) kimliğine göre kontrol etmekte ancak arka plan veritabanı arama ve değiştirme işlemleri (findById, delete) yalnızca resourceId'yi kullanmaktadır. Bu uyumsuzluk, tek bir istemci (örneğin İstemci A) için ince ayarlı admin izinlerine sahip kimliği doğrulanmış bir saldırganın, geçerli bir kaynak kimliği sağlayarak aynı realm içindeki başka bir istemciye (İstemci B) ait kaynakları silmesine veya güncellemesine olanak tanır.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| build_keycloak 26.4 | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.