Недостаток был найден в Кейклоаке. Уязвимость IDOR (Broken Access Control) существует в конечных точках admin API для управления ресурсами …

Недостаток был найден в Кейклоаке. Уязвимость IDOR (Broken Access Control) существует в конечных точках admin API для управления ресурсами авторизации, в частности, в ResourceSetService и PermissionTicketService. Система проверяет авторизацию по идентификатору ресурсаServer (клиент), предоставленному в запросе API, но операции поиска и модификации базы данных бэкэнда (findById, delete) используют только ресурсId. Это несоответствие позволяет аутентифицированному злоумышленнику с мелкозернистыми разрешениями администратора для одного клиента (например, Клиента А) удалять или обновлять ресурсы, принадлежащие другому клиенту (Клиенту В) в той же сфере, путем предоставления действительного идентификатора ресурса.