Media

Improper authorization in Keycloak

Publicada: 27.04.2022
Actualizado: 11.10.2026 11:21

Due to improper authorization, Red Hat Single Sign-On is vulnerable to users performing actions that they should not be allowed to perform. It was possible to add users to the master realm even though no respective permission was granted.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Java / Kotlin (Maven)	org.keycloak:keycloak-core	< 17.0.1	17.0.1

Referencias

Puntuación CVSS 6.5/10

Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
Debilidad (CWE): CWE-863
Plataforma: Java / Kotlin (Maven)
Paquete: org.keycloak:keycloak-core
Publicada: 27.04.2022
Actualizado: 11.10.2026 11:21

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-f32v-vf79-p29q - CC BY 4.0

Historial de vulnerabilidades: org.keycloak:keycloak-core

Todas las vulnerabilidades publicadas de este paquete (Java / Kotlin (Maven)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (49) en el archivo

Entradas en total: 49
Primera → última: 10.2018 02.2025
Sin corrección: 5
Explotada en ataques: 0

Distribución por gravedad

Crítica 3
Alta 14
Media 31
Baja 1

Divulgaciones por año

2018: 9
2019: 4
2020: 4
2021: 5
2022: 17
2023: 4
2024: 5
2025: 1
2026: 0

25.11.2024

Keycloak mTLS Authentication Bypass via Reverse Proxy TLS Termination

Alta · 7.1 CVE-2024-10039 < 26.0.6 26.0.6
10.09.2024

Keycloak Denial of Service vulnerability

Alta · 6.5 CVE-2023-6841 < 24.0.0 24.0.0
12.09.2023

Keycloak vulnerable to Plaintext Storage of User Password

Alta · 8.8 CVE-2023-4918 >= 22.0.2, < 22.0.3 22.0.3
27.08.2022

Keycloak allows anyone to register new security device or key for any user by using WebAuthn password-less login flow

Alta · 7.5 CVE-2021-3632 < 15.1.0 15.1.0
24.05.2022

keycloak vulnerable to unauthorized login via mail server setup

Crítica · 9.1 CVE-2019-14837 < 8.0.0 8.0.0
27.04.2022

Improper authorization in Keycloak esta entrada

Media · 6.5 CVE-2022-1466 < 17.0.1 17.0.1
18.03.2022

Authentication Bypass in keycloak

Alta · 8.8 CVE-2020-27826 < 12.0.0 12.0.0
18.03.2022

Temporary Directory Hijacking Vulnerability in Keycloak

Alta · 7.3 CVE-2021-20202 < 13.0.0 13.0.0
09.02.2022

Improper Input Validation in Keycloak

Alta · 8.8 CVE-2020-1714 < 11.0.0 11.0.0
10.11.2021

Improper privilege management in Keycloak

Alta · 8.1 CVE-2020-14389 < 12.0.0 12.0.0
21.10.2021

Privilege Defined With Unsafe Actions in Keycloak

Alta · 7.2 CVE-2019-10170 < 8.0.0 8.0.0
08.06.2021

keycloak Self Stored Cross-site Scripting vulnerability

Crítica · 9.6 CVE-2021-20195 < 13.0.0 13.0.0
15.04.2020

Predictable password in Keycloak

Crítica · 9.8 CVE-2020-1731 < 8.0.2 8.0.2
23.09.2019

Improper Input Validation and Cross-Site Request Forgery in Keycloak

Alta · 8.8 CVE-2019-10199 < 7.0.0 7.0.0
21.12.2018

Improper Authentication in Keycloak

Alta · 8.1 CVE-2018-14637 < 4.6.0 4.6.0
18.10.2018

Keycloak vulnerable to uncontrolled resource consumption

Alta · 7.5 CVE-2014-3651 < 1.0.3 1.0.3
18.10.2018

Keycloak vulnerable to infinite loop based Denial of Service

Alta · 7.5 CVE-2017-2646 < 2.5.5 2.5.5
18.10.2018

Improper Authentication in org.keycloak:keycloak-core

Alta · 8.1 CVE-2016-8609 < 2.3.0 2.3.0

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación