CVE-2025-14777

Nome do Software Vulnerável e Versões Afetadas Keycloak (versões afetadas não especificadas)

Descrição Uma falha de controle de acesso quebrado foi identificada nos endpoints da API administrativa do Keycloak relacionados ao gerenciamento de recursos de autorização, especificamente no ResourceSetService e PermissionTicketService. O sistema valida incorretamente a autorização com base no ID do cliente (resourceServer) fornecido na requisição da API, enquanto as operações de banco de dados utilizam apenas o ID do recurso (resourceId). Essa discrepância permite que um atacante autenticado, com privilégios administrativos limitados para um cliente, modifique ou exclua recursos pertencentes a um cliente diferente dentro do mesmo realm, aproveitando um ID de recurso válido. Os endpoints da API afetados envolvem o gerenciamento de recursos.

Recomendações Atualmente, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.