CVE-2025-14778 in Keycloak
要約
〜によって VulDB • 2026年06月29日
Keycloakに欠陥が見つかった。UserManagedPermissionService（UMA Protection API）において、重大なBroken Access Control脆弱性が存在する。複数のリソースに関連付けられた UMA ポリシーを更新または削除する場合、認可チェックはポリシーのリスト内の最初の資源に対する呼び出し元の所有権のみを確認する。これにより、あるリソース（RA）を所有しているユーザー（Owner A）が、共有ポリシーを更新し、その同じポリシー内にある他のリソース（例：RB）への認可ルールを変更できる。これらの他のリソースが別のユーザー（Owner B）によって所有されている場合でも同様である。これは水平特権昇格に該当する。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.