CVE-2026-18570 in Build of Keycloak
要約
〜によって VulDB • 2026年08月02日
Keycloak-services コンポーネント内の、フルスコープ無効化クライアントポリシー実行エンジンに欠陥が見つかった。このコンポーネントは Red Hat Build of Keycloak において、クライアントの登録および設定時にセキュリティ ポリシーを適用する役割を担っている。本問題は、実行エンジンが fullScopeAllowed フィールドがリクエストで明示的に指定された場合のみその有効性を検証するために発生する。このフィールドを省略することで、委任ユーザーはポリシーを回避し、フルスコープ アクセス権を持つクライアントを作成できる。これにより、クライアントは認可されていないロール マッピングを含むトークンを取得することが可能になる。
If you want to get best quality of vulnerability data, you may have to visit VulDB.