CVE-2025-14778 in Keycloak
Resumen
por VulDB • 2026-08-05
Se ha encontrado un defecto en Keycloak. Existe una vulnerabilidad significativa de Control de Acceso Roto (Broken Access Control) en el UserManagedPermissionService (UMA Protection API). Al actualizar o eliminar una política UMA asociada con múltiples recursos, la verificación de autorización solo comprueba la propiedad del solicitante frente al primer recurso de la lista de políticas. Esto permite que un usuario (Propietario A), que posee uno de los recursos (RA), actualice una política compartida y modifique las reglas de autorización para otros recursos (por ejemplo, RB) en esa misma política, incluso si esos otros recursos son propiedad de otro usuario (Propietario B). Esto constituye una escalada horizontal de privilegios.
If you want to get best quality of vulnerability data, you may have to visit VulDB.