یک نقص امنیتی در مکانیزم به‌روزرسانی کاربران در Keycloak Admin REST API شناسایی شده است که می‌تواند منجر به دسترسی غیرمجاز به حساب‌های کاربری شود.
جزئیات فنی آسیب‌پذیری
این مشکل زمانی رخ می‌دهد که قابلیت Fine-Grained Admin Permissions فعال باشد. در این حالت، سیستم در هنگام به‌روزرسانی کلی پروفایل کاربر، بررسی‌های لازم برای مجوزهای خاص مربوط به بازنشانی رمز عبور (Password Reset) را انجام نمی‌دهد.
تاثیر و ریسک
- سوءاستفاده: یک مدیر نمایندگی (Delegated Administrator) که طبق سیاست‌های دسترسی نباید اجازه بازنشانی رمز عبور را داشته باشد، می‌تواند از این نقص برای تغییر اعتبارنامه‌های (Credentials) یک کاربر استفاده کند.
- نتیجه: این اقدام منجر به Account Takeover یا تصاحب کامل حساب کاربری هدف توسط فرد غیرمجاز می‌شود.
این آسیب‌پذیری با شناسه CVE-2026-97177 ثبت شده و شدت آن در سطح Medium ارزیابی شده است.
