Keycloak معرض لتجاوز الصلاحيات بسبب مقارنة غير صحيحة لمعرفات URI

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

وصف: تم اكتشاف ثغرة في Keycloak Policy Enforcer تتيح لأي مهاجم يملك حسابًا مصادقًا عليه تجاوز سياسات التفويض عبر تضمين مسار صفحة الوصول المرفوضة في عنوان URL الخاص بالطلب.

المعالجة

1. أحصِ جميع نشرات org.keycloak:keycloak-services، بما فيها بيئات الاختبار.
2. رقِّ org.keycloak:keycloak-services إلى الإصدار المصحَّح الخاص بفرعك، كما يظهر في جدول الإصدارات المتأثرة.
3. تحقق من الإصدار العامل بعد الترقية.

المراجع

• تحذيرhttps://github.com/advisories/GHSA-f5p5-6xmx-p252
• مرجعhttps://github.com/keycloak/keycloak/security/advisories/GHSA-f5p5-6xmx-p252
• مرجعhttps://nvd.nist.gov/vuln/detail/CVE-2026-9800
• مرجعhttps://access.redhat.com/errata/RHSA-2026:30049
• مرجعhttps://access.redhat.com/errata/RHSA-2026:30050
• مرجعhttps://access.redhat.com/errata/RHSA-2026:30083
• مرجعhttps://access.redhat.com/errata/RHSA-2026:30084
• مرجعhttps://access.redhat.com/errata/RHSA-2026:36002
• مرجعhttps://access.redhat.com/errata/RHSA-2026:36013
• مرجعhttps://access.redhat.com/errata/RHSA-2026:50846
• مرجعhttps://access.redhat.com/errata/RHSA-2026:50847
• مرجعhttps://access.redhat.com/security/cve/CVE-2026-9800