FICHE CVE

CVE-2026-9795

Publiée le 2026-05-28 · Dernière modification le 2026-07-15

🇫🇷 EN BREF

Les installations de Keycloak utilisant la fonctionnalité Fine-Grained Admin Permissions (FGAPv2) sont concernées. Un administrateur disposant d'un accès limité à la gestion des clients peut contourner les contrôles de sécurité pour attribuer des rôles de royaume (realm roles) hautement privilégiés à un client, permettant potentiellement de s'octroyer ou d'octroyer à d'autres des permissions élevées non autorisées. Cela nécessite un accès réseau ainsi que des identifiants administratifs de haut niveau, mais l'exécution est difficile car elle requiert une configuration spécifique et une interaction de l'utilisateur.

CVSS 3.17.3 ÉLEVÉE

Type de faiblesse

Attribution de privilège incorrecte · CWE-266

Publiée2026-05-28

Dernière modification2026-07-15

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueÉlevée

Privilèges requisÉlevés

Interaction utilisateurRequise

PortéeModifiée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

A flaw was found in Keycloak's Fine-Grained Admin Permissions (FGAPv2) feature. An administrator with limited client management permissions can exploit this vulnerability to assign any realm role, including highly privileged roles, to a client's scope mapping. This bypasses intended security controls, allowing the injected role to be projected into a user's authentication token when they access the modified client. This could lead to unauthorized privilege escalation within the Keycloak realm.