PT-2026-34453 · Red Hat+1 · Keycloak+1

Publicado 2026-04-22 · Atualizado 2026-04-23 · CVE-2026-41166

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.0

Alta

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:H/A:L

Name of the Vulnerable Software and Affected Versions OpenRemote versões anteriores a 1.22.1

Description Um usuário que possua a função write:admin em um realm do Keycloak pode utilizar a API do Manager para atualizar as funções de realm do Keycloak para usuários em outro realm, incluindo o realm master. O problema ocorre porque o manipulador utiliza o segmento de caminho {realm} ao se comunicar com o provedor de identidade, mas não verifica se o chamador possui privilégios administrativos para esse realm específico. Esta falha está localizada na função updateUserRealmRoles() em manager/src/main/java/org/openremote/manager/security/UserResourceImpl.java. Um invasor poderia conseguir a escalada de privilégios para administrador do realm master se controlar qualquer usuário dentro desse realm.

Recommendations Atualizar para a versão 1.22.1.

Exploit

Correção

Improper Access Control

Enumeração de Fraquezas

CWE-284

Identificadores relacionados

CVE-2026-41166

GHSA-49VV-25QX-MG44

Produtos afetados

Keycloak

Openremote

Referências · 7

• 🔥 https://github.com/openremote/openremote/security/advisories/GHSA-49vv-25qx-mg44 · Exploit
• https://github.com/openremote/openremote/releases/tag/1.22.1 · Nota
• https://github.com/openremote/openremote · Nota
• https://osv.dev/vulnerability/GHSA-49vv-25qx-mg44 · Aviso do Fabricante
• https://reddit.com/r/VulnMatter/comments/1ssnpas/resumen_diario_de_vulnerabilidades_22042026 · Publicação no Reddit
• https://nvd.nist.gov/vuln/detail/CVE-2026-41166 · Nota de Segurança
• https://twitter.com/CVEnew/status/2047359946182873523 · Publicação no Twitter