CVE-2026-9088
NiskieCVSS 2.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
W org.keycloak.services administrator z delegowanym dostępem do odczytu członkostw grup i użytkowników może ominąć uprawnienia profilu użytkownika, uzyskując dostęp do endpointu członków grupy, co pozwala na wyświetlenie atrybutów użytkownika, które są jawnie zabronione.
Ocena ryzyka
Administratorzy mogą uzyskać dostęp do poufnych atrybutów użytkowników, co narusza politykę prywatności i może prowadzić do wycieku danych.
Rekomendacja
Należy zaktualizować Keycloak do wersji, w której naprawiono to zachowanie, lub ograniczyć uprawnienia delegowane.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in org.keycloak.services. An administrator with delegated access to read group memberships and users can bypass user profile permissions by accessing the group members endpoint. This allows the administrator to view user attributes that are explicitly configured to be denied, leading to information disclosure.