PT-2026-41869 · Red Hat · Keycloak

Osidb Bzimport · Publicado 2026-05-19 · Atualizado 2026-06-03 · CVE-2026-37978

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.9

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Keycloak (versões afetadas não especificadas)

Description Uma falha na API de Administração permite que um administrador de baixo privilégio com a função 'view-clients' cause o vazamento de informações de identificação pessoal (PII) entre funções. Ao invocar o endpoint 'evaluate-scopes' com um parâmetro userId arbitrário, um invasor pode obter visibilidade não autorizada de identidades e autorizações de usuários em todo o realm. Este problema pode ser explorado remotamente via acesso de rede à API de Administração.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2026-37978

GHSA-RRV7-3MQF-HXFR

Produtos afetados

Keycloak

Referências · 11

• https://github.com/keycloak/keycloak/commit/ba9a18744dcec2ef46f284d25c1c0aa1c962a500 · Nota
• https://github.com/keycloak/keycloak · Nota
• https://github.com/keycloak/keycloak/commit/492d1f04cdad425dadb9d5e1faa94dd17a875573 · Nota
• https://t.me/cveNotify/165855 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-rrv7-3mqf-hxfr · Aviso do Fabricante
• https://twitter.com/dailycve/status/2062317662424752341 · Publicação no Twitter
• https://access.redhat.com/security/cve/CVE-2026-37978 · Aviso do Fabricante
• https://bugzilla.redhat.com/show_bug.cgi?id=2455327 · Aviso do Fabricante
• https://access.redhat.com/errata/RHSA-2026:19597 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-37978 · Nota de Segurança
• https://access.redhat.com/errata/RHSA-2026:19596 · Aviso do Fabricante