CVE-2026-9099

Nome do Software Vulnerável e Versões Afetadas Keycloak (versões afetadas não especificadas)

Description Uma falha de verificação de autorização no endpoint GroupResource.addChild() dentro da Admin REST API permite que um usuário autenticado com privilégios administrativos limitados altere a hierarquia de qualquer grupo existente. Quando as Permissões Administrativas de Grão Fino v2 (FGAPv2) estão habilitadas, um invasor com direitos de gerenciamento sobre um único grupo de baixo privilégio pode subordinar um grupo altamente privilegiado ao seu grupo gerenciado. Como as permissões de grupo seguem uma estrutura hierárquica, isso concede ao invasor capacidades não autorizadas de gerenciamento e redefinição de senha sobre os membros do grupo privilegiado, podendo levar ao controle total do realm.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.