CVE-2026-9099

Keycloak üzerinde bir açık bulundu. Admin REST API içerisindeki GroupResource.addChild() uç noktasında eksik olan bir yetkilendirme kontrolü, sınırlı yönetici ayrıcalıklarına sahip kimliği doğrulanmış bir kullanıcının mevcut herhangi bir grubu yeniden üst gruba bağlamasına izin verir. Fine-Grained Admin Permissions v2 (FGAPv2) etkinleştirildiğinde, düşük yetkili tek bir grup üzerinde yönetim hakları olan bir saldırgan, yüksek yetkili bir grubu (realm-admin rolüne sahip olanlar gibi) kendi yönettiği grubun altına yeniden bağlayabilir. Grup izinleri hiyerarşik bir yapı izlediğinden, bu işlem saldırgana hedef alınan yetkili grubun üyeleri üzerinde yetkisiz bir şekilde yönetim ve şifre sıfırlama yetenekleri sağlar. Bir saldırgan bunu, bir yöneticinin şifresini sıfırlamak, hesabı ele geçirmek ve tam bir realm takeover gerçekleştirmek için kullanabilir; bu da gizlilik, bütünlük ve erişilebilirliğin tamamen tehlikeye girmesine yol açar.