CVE-2026-4636
Açıklama
Keycloak üzerinde bir açık bulundu. uma_protection rolüne sahip kimliği doğrulanmış bir kullanıcı, Kullanıcı Yönetimli Erişim (User-Managed Access - UMA) politika doğrulamasını atlayabilir. Bu durum, saldırganın URL yolu kendisinin sahip olduğu bir kaynağı belirtse bile, politika oluşturma isteğine diğer kullanıcılara ait kaynak tanımlayıcılarını eklemesine olanak tanır. Sonuç olarak saldırgan, kurbanın sahip olduğu kaynaklar üzerinde yetkisiz izinler elde ederek bir İstek Yapan Taraf Belirteci (Requesting Party Token - RPT) alabilir ve hassas bilgilere erişebilir veya yetkisiz işlemler gerçekleştirebilir.
Nasıl düzeltilir
- org.keycloak:keycloak-services26.5.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| redhat build_of_keycloak | Aralık belirtilmemiş, 26.2, 26.2.15, 26.4, 26.4.11 | — |
| org.keycloak:keycloak-servicesMaven | v < 26.5.7 | 26.5.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.