CVE-2026-37981
MediumCVSS 4.3Summary
W Keycloak odkryto lukę w kontroli dostępu, która pozwala zdalnemu uwierzytelnionemu użytkownikowi, posiadającemu przynajmniej jeden zasób zarządzany przez użytkownika (UMA), na enumerację i zbieranie danych osobowych wszystkich użytkowników w danym realmie. Wysyłając odpowiednio skonstruowane żądania z dowolnymi nazwami użytkowników lub adresami e-mail, można uzyskać pełne obiekty profilu dla niepowiązanych użytkowników.
Risk Assessment
Luka ta prowadzi do szerokiego ujawnienia informacji na poziomie profilu, co może skutkować naruszeniem prywatności użytkowników i potencjalnymi konsekwencjami prawnymi dla organizacji.
Recommendation
Zaleca się natychmiastowe zaktualizowanie Keycloak do najnowszej wersji, aby załatać tę lukę oraz przegląd polityki dostępu do zasobów użytkowników w celu ograniczenia możliwości nieautoryzowanego dostępu.
Original NVD description (English source)
A flaw was found in Keycloak. A broken access control vulnerability in the Account Resources user lookup endpoint allows a remote authenticated user, who owns at least one User-Managed Access (UMA) resource, to enumerate and harvest personally identifiable information (PII) for all realm users. By sending crafted requests with arbitrary usernames or email values, the endpoint returns full profile objects for unrelated users. This leads to broad profile-level information disclosure.