CVE-2026-37978
ŚrednieCVSS 4.9Streszczenie
W Keycloak znaleziono lukę, która pozwala administratorowi o niskich uprawnieniach z rolą 'view-clients' na wykorzystanie punktów końcowych API Admin 'evaluate-scopes' z dowolnym identyfikatorem użytkownika. Ta podatność umożliwia wyciek danych osobowych (PII) między rolami, co pozwala na nieautoryzowany dostęp do tożsamości użytkowników i ich uprawnień.
Ocena ryzyka
Organizacja narażona jest na ryzyko nieautoryzowanego ujawnienia danych osobowych użytkowników, co może prowadzić do naruszenia prywatności i utraty zaufania do systemu. Wyciek informacji o tożsamości i uprawnieniach użytkowników może również skutkować dalszymi atakami na system.
Rekomendacja
Zaleca się ograniczenie dostępu do punktów końcowych API Admin oraz przegląd ról i uprawnień administratorów, aby zminimalizować ryzyko wykorzystania tej luki. Należy również monitorować logi dostępu w celu wykrycia potencjalnych prób nadużyć.
Powiązane podatności
- CVE-2026-108707Krytyczne
Wukong_HRM do commita 186115e zawiera podatność obejścia uwierzytelniania w ParamAspect, która pozwala nieuwierzytelnionym atakującym wywołać dowolny endpoint API HRM poprzez pominięcie nagłówka AUTH-TOKEN. Atakujący uzyskują dostęp na poziomie administratora HR do odczytu odcinków wypłat, historii wynagrodzeń i danych osobowych pracowników, pobierania załączników oraz modyfikacji lub usuwania firmowych rekordów HR.
- CVE-2026-81797Krytyczne
Motyw WordPress Buzz Stone | Magazine & Viral Blog w wersjach do 1.0.2 zawiera podatność typu PHP Object Injection. Atakujący nieuwierzytelniony może wstrzyknąć złośliwy obiekt PHP, co może prowadzić do wykonania dowolnego kodu lub innych poważnych skutków.
- CVE-2026-78535Krytyczne
Motyw WordPress Photolia w wersjach do 1.0.3 zawiera podatność typu PHP Object Injection. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy obiekt PHP, co może prowadzić do wykonania dowolnego kodu lub innych poważnych skutków.
- CVE-2026-78533Krytyczne
Motyw WordPress Qwery w wersjach do 3.6.1 zawiera podatność typu PHP Object Injection. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy obiekt PHP, co może prowadzić do wykonania dowolnego kodu lub innych poważnych skutków.
- CVE-2026-78531Krytyczne
Motyw WordPress Jacqueline w wersjach do 2.22 zawiera podatność typu PHP Object Injection. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy obiekt PHP, co może prowadzić do wykonania dowolnego kodu lub innych poważnych skutków.
- CVE-2026-78529Krytyczne
Motyw WordPress Alliance w wersjach do 3.11 zawiera podatność typu PHP Object Injection. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy obiekt PHP, co może prowadzić do wykonania dowolnego kodu lub innych poważnych skutków.
- CVE-2026-66569Krytyczne
Motyw WordPress Kicker w wersjach do 2.2.1 zawiera podatność typu PHP Object Injection. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy obiekt PHP, co może prowadzić do wykonania dowolnego kodu lub innych poważnych skutków.
- CVE-2026-66568Krytyczne
Motyw WordPress Original w wersjach do 1.9.0 zawiera podatność typu PHP Object Injection. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy obiekt PHP, co może prowadzić do wykonania dowolnego kodu lub innych poważnych skutków.
- CVE-2026-66567Krytyczne
Motyw WordPress Anesta w wersjach do 1.5.3 zawiera podatność typu PHP Object Injection. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy obiekt PHP, co może prowadzić do wykonania dowolnego kodu lub innych poważnych skutków.
- CVE-2026-66565Krytyczne
Motyw WordPress FC United w wersjach do 1.1.1 zawiera podatność typu PHP Object Injection. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy obiekt PHP, co może prowadzić do wykonania dowolnego kodu lub innych poważnych skutków.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in Keycloak. A low-privilege administrator with the 'view-clients' role can exploit this by invoking the 'evaluate-scopes' Admin API endpoints with an arbitrary user ID (userId) parameter. This vulnerability allows for cross-role personally identifiable information (PII) leakage, enabling unauthorized visibility into user identities and authorizations across the realm. Exploitation is possible remotely via network access to the Admin API.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS