CVE-2020-27826 – keycloak: Account REST API can update user metadata attributes

https://notcve.org/view.php?id=CVE-2020-27826

A flaw was found in Keycloak before version 12.0.0 where it is possible to update the user's metadata attributes using Account REST API. This flaw allows an attacker to change its own NameID attribute to impersonate the admin user for any particular application. Se encontró un fallo en Keycloak versiones anteriores a 12.0.0, donde es posible actualizar los atributos de metadatos del usuario usando la API REST de la cuenta. Este fallo permite a un atacante cambiar su propio atributo NameID para hacerse pasar por el usuario administrador de cualquier aplicación en particular • https://bugzilla.redhat.com/show_bug.cgi?id=1905089 https://access.redhat.com/security/cve/CVE-2020-27826 • CWE-250: Execution with Unnecessary Privileges •