Недостаток был обнаружен в клиентской политике Keycloak, в частности, в компоненте «org.keycloak.protocol.idc`». Когда для обеспечения собл…

Недостаток был обнаружен в клиентской политике Keycloak, в частности, в компоненте «org.keycloak.protocol.idc`». Когда для обеспечения соблюдения ограничений безопасности используются определенные поставщики условий (клиент-тип, клиент-ролевы, клиентские атрибуты, клиентские краткие) используются для обеспечения безопасности, исполнитель «отклонения-ropc-grant`» молча обходит стороной. Это позволяет неаутентифицированному удаленному злоумышленнику получать токены через грант Proword Credentials (ROPC) владельца ресурса, даже если политика явно настроена на его блокировку. Этот обход может привести к несанкционированному доступу и раскрытию информации.