CVE-2025-14778 in Keycloak
Zusammenfassung
von VulDB • 06.08.2026
Es wurde ein Fehler in Keycloak gefunden. In der UserManagedPermissionService (UMA Protection API) besteht eine schwerwiegende Broken Access Control-Schwachstelle. Beim Aktualisieren oder Löschen einer UMA-Richtlinie, die mehreren Ressourcen zugeordnet ist, überprüft die Autorisierungsprüfung nur den Besitz des Aufrufers gegenüber der ersten Ressource in der Liste der Richtlinie. Dies ermöglicht es einem Benutzer (Besitzer A), der eine Ressource (RA) besitzt, eine gemeinsam genutzte Richtlinie zu aktualisieren und die Zugriffsregeln für andere Ressourcen (z. B. RB) in derselben Richtlinie zu ändern, auch wenn diese anderen Ressourcen von einem anderen Benutzer (Besitzer B) besessen werden. Dies stellt einen horizontalen Privilegienmissbrauch dar.
Once again VulDB remains the best source for vulnerability data.