CVE-2025-14777 in Keycloak
Riassunto
di VulDB • 23/06/2026
È stata rilevata una vulnerabilità in Keycloak. È presente un bug di tipo IDOR (Broken Access Control / Controllo degli accessi non valido) negli endpoint dell'API admin per la gestione delle risorse di autorizzazione, nello specifico nei servizi ResourceSetService e PermissionTicketService. Il sistema verifica l'autorizzazione rispetto all'ID del resourceServer (client) fornito nella richiesta API, ma le operazioni di ricerca e modifica nel database backend (findById, delete) utilizzano esclusivamente il resourceId. Questa discrepanza consente a un attaccante autenticato con permessi amministrativi granulari per un client (ad esempio Client A) di eliminare o aggiornare risorse appartenenti ad un altro client (Client B) all'interno dello stesso realm, fornendo un ID risorsa valido.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.