CVE-2026-9799
Açıklama
org.keycloak.authorization bileşeninde bir açık bulundu. Bir kaynak için atanmış User-Managed Access (UMA) izin biletine sahip kimliği doğrulanmış bir kullanıcı, kaynak başına erişim kontrolünü atlamak için belirli bir izin isteği ön eki kullanarak bu durumu istismar edebilir. Bu durum, kullanıcının söz konusu spesifik kaynaklar için bir bilete sahip olmasa bile, aynı kaynak sunucusu içindeki o türdeki tüm kaynaklara yetkisiz erişim sağlamasına olanak tanır. Bu güvenlik açığı, kaynak sunucusunun PERMISSIVE politika uygulama modunda yapılandırılmasını gerektirir ve ownerManagedAccess özelliği etkinleştirilmiş, kaynak türünü koruyan açık bir politikanın bulunmadığı türlendirilmiş kaynakları etkiler. Temel sonuç, yetkisiz bilgi ifşası veya kaynakların değiştirilmesidir.
Nasıl düzeltilir
- redhat build_of_keycloak26.4.13, 26.6.4 ya da sonraki bir sürüm
- org.keycloak:keycloak-services26.6.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| redhat build_of_keycloak | 26.4 ≤ v < 26.4.13, 26.6 ≤ v < 26.6.4 | 26.4.13, 26.6.4 |
| org.keycloak:keycloak-servicesMaven | v < 26.6.4 | 26.6.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.