Anmelden
Deutsch English Español Polski
Mittel

Keycloak Privilege Escalation Vulnerability in Admin Console (FGAPv2 Enabled)

  • Veröffentlicht: 30.07.2025
  • Aktualisiert: 11.10.2026 12:22

A Privilege Escalation vulnerability was identified in the Keycloak identity and access management solution, specifically when FGAPv2 is enabled in version 26.2.x. The flaw lies in the admin permission enforcement logic, where a user with manage-users privileges can self-assign realm-admin rights. The escalation occurs due to missing privilege boundary checks in role mapping operations via the admin REST interface. A malicious administrator with limited permissions can exploit this by editing their own user roles, gaining unauthorized full access to realm configuration and user data.

This issue has been fixed in versions 26.2.6, and 26.3.0.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Java / Kotlin (Maven) org.keycloak:keycloak-services >= 26.2.0, < 26.2.6 26.2.6

Verweise

CVSS-Wert 6.5/10
CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:N
Schwäche (CWE)
CWE-269
Plattform
Java / Kotlin (Maven)
Paket
org.keycloak:keycloak-services
Veröffentlicht
30.07.2025
Aktualisiert
11.10.2026 12:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-27gp-8389-hm4w - CC BY 4.0

Schwachstellenhistorie: org.keycloak:keycloak-services

Alle veröffentlichten Schwachstellen dieses Pakets (Java / Kotlin (Maven)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (98) im Archiv
Einträge insgesamt
98
Erste → letzte
01.2022 08.2026
Ohne Fix
16
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 3
  • Hoch 26
  • Mittel 51
  • Niedrig 18

Veröffentlichungen pro Jahr

Schweregrad:
  1. Keycloak: Unauthenticated account takeover via reset-credentials flow bypass
    Kritisch · 9.1 CVE-2026-18963 >= 26.0.0, < 26.4.15, >= 26.5.0, < 26.6.6, >= 26.7.0, < 26.7.2 26.4.15, 26.6.6, 26.7.2
  2. Keycloak: Unauthorized access via improper validation of encrypted SAML assertions
    Hoch · 7.7 CVE-2026-2092 <= 26.2.5, >= 26.3.0, <= 26.4.7, >= 26.5.0 keine Korrektur
  3. Keycloak has privilege escalation via improper scope mapping enforcement
    Hoch · 7.3 CVE-2026-9795 < 26.6.4 26.6.4
  4. Keycloak: Open redirect when using wildcard valid redirect URIs in Keycloak
    Hoch · 8.1 CVE-2026-7504 < 26.6.2 26.6.2
  5. Keycloak: Session fixation in OIDC login flow that can lead to account takeover
    Hoch · 7.5 CVE-2026-7507 < 26.6.2 26.6.2
  6. Keycloak: Access token disclosure and implicit flow bypass via forged client data
    Hoch · 7.1 CVE-2026-7571 < 26.6.2 26.6.2
  7. Keycloak: Privilege escalation via forged authorization codes due to SingleUseObjectProvider isolation flaw
    Hoch · 7.4 CVE-2026-4282 < 26.5.7 26.5.7
  8. Keycloak: Application-Level DoS via Scope Processing
    Hoch · 7.5 CVE-2026-4634 < 26.5.7 26.5.7
  9. Keycloak: UMA Policy Resource Injection Allows Unauthorized Cross-User Permission Grants
    Hoch · 8.1 CVE-2026-4636 < 26.5.7 26.5.7
  10. Keycloak: Redirect URI validation bypass via ..;/ path traversal in OIDC auth endpoint
    Hoch · 7.3 CVE-2026-3872 < 26.5.7 26.5.7
  11. Keycloak: Unauthorized authentication via disabled SAML Identity Provider
    Hoch · 8.1 CVE-2026-2603 < 26.5.5 26.5.5
  12. Keycloak allows authentication using an Identity Provider (IdP) even after it has been disabled by an administrator
    Hoch · 8.1 CVE-2026-3009 < 26.5.5 26.5.5
  13. Keycloak fails to verify if an Identity Provider (IdP) is enabled before issuing tokens
    Hoch · 8.8 CVE-2026-1486 >= 26.5.0, < 26.5.3, < 26.4.9 26.5.3, 26.4.9
  14. Keycloak affected by improper invitation token validation
    Hoch · 8.1 CVE-2026-1529 >= 26.5.0, < 26.5.3, < 26.2.13, >= 26.3.0, < 26.4.9 26.5.3, 26.2.13, 26.4.9
  15. Keycloak Privilege Escalation Vulnerability in Admin Console (FGAPv2 Enabled) dieser Eintrag
    Mittel · 6.5 CVE-2025-7784 >= 26.2.0, < 26.2.6 26.2.6
  16. Keycloak hostname verification
    Hoch · 8.2 CVE-2025-3501 < 26.2.2 26.2.2
  17. org.keycloak:keycloak-services has Inefficient Regular Expression Complexity
    Hoch · 6.5 CVE-2024-10270 < 24.0.9, >= 25.0.0, < 26.0.6 24.0.9, 26.0.6
  18. Keycloak has session fixation in Elytron SAML adapters
    Hoch · 7.1 CVE-2024-7341 < 22.0.12, >= 23.0.0, < 24.0.7, >= 25.0.0, < 25.0.5 22.0.12, 24.0.7, 25.0.5
  19. Keycloak's admin API allows low privilege users to use administrative functions
    Hoch · 8.1 CVE-2024-3656 < 24.0.5 24.0.5
  20. Keycloak exposes sensitive information in Pushed Authorization Requests (PAR)
    Hoch · 7.5 CVE-2024-4540 < 24.0.5 24.0.5
  21. Keycloak path traversal vulnerability in redirection validation
    Hoch · 8.1 CVE-2024-1132 < 22.0.10, >= 23.0.0, < 24.0.3 22.0.10, 24.0.3
  22. Keycloak's unvalidated cross-origin messages in checkLoginIframe leads to DDoS
    Hoch · 7.4 CVE-2024-1249 < 22.0.10, >= 23.0.0, < 24.0.3 22.0.10, 24.0.3
  23. Keycloak path traversal vulnerability in the redirect validation
    Hoch · 7.1 CVE-2024-2419 < 22.0.10, >= 23.0.0, < 24.0.3 22.0.10, 24.0.3
  24. The redirect_uri validation logic allows for bypassing explicitly allowed hosts that would otherwise be restricted
    Hoch · 7.1 CVE-2023-6291 < 23.0.3 23.0.3
  25. Keycloak vulnerable to Improper Client Certificate Validation for OAuth/OpenID clients
    Hoch · 7.1 CVE-2023-2422 < 21.1.2 21.1.2
  26. Keycloak vulnerable to cross-site scripting when validating URI-schemes on SAML and OIDC
    Kritisch · 10.0 CVE-2022-4361 < 21.1.2 21.1.2
  27. Keycloak vulnerable to user impersonation via stolen UUID code
    Hoch · 8.7 CVE-2023-0264 < 21.0.1 21.0.1
  28. JBoss Keycloak CSRF Vulnerability
    Hoch · 8.8 CVE-2014-3709 < 1.0.3.Final 1.0.3.Final
  29. Keycloak vulnerable to privilege escalation on Token Exchange feature
    Kritisch · 9.8 CVE-2022-1245 < 18.0.0 18.0.0
  30. Improper Authorization in Keycloak
    Hoch · 8.8 CVE-2021-4133 < 15.1.1 15.1.1

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.