CVE-2026-37978

Orta

Açıklama

Keycloak üzerinde bir açık bulundu. 'view-clients' rolüne sahip düşük yetkili bir yönetici, rastgele bir kullanıcı kimliği (userId) parametresi ile 'evaluate-scopes' Admin API uç noktalarını çağırarak bu durumu istismar edebilir. Bu güvenlik açığı, roller arası kişisel olarak tanımlanabilir bilgilerin (PII) sızmasına neden olarak, realm genelindeki kullanıcı kimliklerinin ve yetkilendirmelerin yetkisiz şekilde görüntülenmesine olanak tanır. İstismar, Admin API'ye ağ erişimi aracılığıyla uzaktan gerçekleştirilebilir.

ÖnemOrta

CVSS4.9

İstismar olasılığı—

Ürün

Redhat Build Of Keycloak

Yayın19 May 2026

İlk görülme19 May 2026

Zayıflık türüCWE-639Kullanıcının denetlediği anahtarla yetki atlatma

Nasıl düzeltilir

Güncelleyin

redhat build_of_keycloak26.4.12 ya da sonraki bir sürüm
org.keycloak:keycloak-services26.6.2 ya da sonraki bir sürüm

Üretici duyuruları

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
redhat build_of_keycloak	v < 26.4.12	26.4.12
org.keycloak:keycloak-servicesMaven	v < 26.6.2	26.6.2

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.