漏洞概述 漏洞编号: Bug 2450244 (CVE-2026-4629) 漏洞名称: Keycloak: 通过硬编码角色映射器注入实现权限提升 报告日期: 2026-03-23 08:02 UTC 修改日期: 2026-06-30 11:49 UTC 状态: NEW 优先级: medium 严重程度: medium 影响范围 产品: Security Response 组件: vulnerability 硬件: All 操作系统: Linux 目标里程碑: Product Security DevOps Team 修复方案 修复版本: 未指定 克隆版本: 未指定 最后关闭: 未指定 已屏蔽: 未指定 漏洞描述 一个具有 权限的用户可以通过将硬编码的角色映射器注入到任何客户端中来提升为 。该映射器在生成时将 注入到令牌中，绕过范围限制。 复现步骤 1. 创建一个只有 角色的用户（无用户/角色/领域访问权限）。 2. 作为攻击者，向任何客户端添加 ，配置为 。 3. 通过该客户端进行身份验证。 4. 生成带有注入的 角色的令牌（绕过 ）。 5. 使用令牌调用 admin API - 确认具有完整的 访问权限。 代码块