Keycloak复合角色映射提权PoC公开

研究者公开了 Keycloak 复合角色映射提权的 Docker 实验环境和 PoC，并在官方镜像 quay.io/keycloak/keycloak:26.8.1 上完成端到端验证。据其描述，仅持有 manage-users 权限的委派管理员，可以把一个名称普通、但子角色包含 realm-management/realm-admin 的复合角色映射给自己、其他用户或组，从而升到完整的 realm-admin 权限。 该路径被指为 CVE-2026-94000 修复不完整所致。按 PoC 说明，这个复合角色只需已经存在，由真实管理员创建、realm 导入或早先流程产生均可，攻击者无需自行创建。 研究者给出的修复验证标准是：在已修补版本上，每一步映射都应返回 403，同时普通非管理员角色映射仍应可用。

AI 根据报道生成 · 8 小时前更新