Baja

Keycloak vulnerable to authorization bypass via the Admin API

Publicada: 12.03.2026
Actualizado: 11.10.2026 12:22

A flaw was found in Keycloak. An authorization bypass vulnerability in the Keycloak Admin API allows any authenticated user, even those without administrative privileges, to enumerate the organization memberships of other users. This information disclosure occurs if the attacker knows the victim's unique identifier (UUID) and the Organizations feature is enabled.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Java / Kotlin (Maven)	org.keycloak:keycloak-js-admin-client	<= 26.5.5	sin corrección
Paquete de npm	@keycloak/keycloak-admin-client	<= 26.5.5	sin corrección

Referencias

Puntuación CVSS 3.1/10

Vector CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:N
Debilidad (CWE): CWE-639
Plataforma: Java / Kotlin (Maven), npm
Paquete: org.keycloak:keycloak-js-admin-client, @keycloak/keycloak-admin-client
Publicada: 12.03.2026
Actualizado: 11.10.2026 12:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-r8jr-wg88-fq5c - CC BY 4.0

Historial de vulnerabilidades: @keycloak/keycloak-admin-client

Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Esta es la única vulnerabilidad conocida de este paquete.

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación