JVNDB-2026-027754

レッドハットのbuild of keycloakにおけるアクセス制御に関する脆弱性

Keycloakの組織管理コンポーネントに脆弱性が発見されました。組織管理権限を持つ委任管理者は、存在しないメールアドレスに対する招待を作成し、その後、アプリケーションプログラミングインターフェースを通じて秘密の登録リンクを直接取得できます。このリンクを使用することで、管理者は必要なユーザー管理権限や招待されたメールアカウントへのアクセスがなくても、新しいユーザーアカウントを作成し、組織に追加できます。これにより、管理者はセキュリティ境界を回避し、組織に不正なメンバーを追加することが可能になります。

レッドハット

• build of keycloak

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

レッドハット

• Red Hat Bugzilla : 2501721  (CVE-2026-16072) CVE-2026-16072 keycloak-services: keycloak-services: Organization invitation link exposure allows unauthorized member creation
• Red Hat Customer Portal : CVE-2026-16072 - Red Hat Customer Portal

1. 不適切なアクセス制御(CWE-284) [その他]

1. CVE-2026-16072

1. National Vulnerability Database (NVD) : CVE-2026-16072

• [2026年08月12日]
    掲載