CVE-2026-2366
NiskieCVSS 3.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
W Keycloak wykryto podatność obejścia autoryzacji w API administracyjnym, która pozwala każdemu uwierzytelnionemu użytkownikowi, nawet bez uprawnień administracyjnych, na wyliczenie członkostw organizacji innych użytkowników. Ujawnienie informacji następuje, gdy atakujący zna unikalny identyfikator (UUID) ofiary i funkcja Organizations jest włączona.
Ocena ryzyka
Ujawnienie informacji o członkostwach organizacji może naruszyć prywatność użytkowników i umożliwić dalsze ataki w środowisku Keycloak.
Rekomendacja
Zaleca się ograniczenie dostępu do API administracyjnego oraz monitorowanie logów pod kątem nieautoryzowanych zapytań o członkostwa organizacji.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in Keycloak. An authorization bypass vulnerability in the Keycloak Admin API allows any authenticated user, even those without administrative privileges, to enumerate the organization memberships of other users. This information disclosure occurs if the attacker knows the victim's unique identifier (UUID) and the Organizations feature is enabled.