CVE-2026-3911
Publiée le 2026-03-11 · Dernière modification le 2026-06-17
Les installations de Keycloak sont affectées par une faille qui permet à un utilisateur authentifié, disposant des permissions administratives « view-users », de voir des attributs d'utilisateurs masqués auxquels il ne devrait pas avoir accès. Un attaquant peut récupérer ces données sensibles en envoyant une requête vers un point de terminaison administratif spécifique via le réseau. Étant donné que cela nécessite des privilèges de haut niveau et ne requiert aucune interaction de l'utilisateur, le risque est limité aux personnes internes ou aux comptes administratifs compromis.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A flaw was found in Keycloak. An authenticated user with the view-users role could exploit a vulnerability in the UserResource component. By accessing a specific administrative endpoint, this user could improperly retrieve user attributes that were configured to be hidden. This unauthorized information disclosure could expose sensitive user data.