БезопасностьВерсия 26.7.2Важное
Keycloak 26.7.2: исправления административных прав
Keycloak 26.7.2 исправляет доступ к группам, восстановление аккаунтов и раскрытие секретов в административных ответах.
Что изменилось
Поиск групп с ограниченными правами не должен показывать скрытые родительские группы.
Закрыты обходы разрешений через API групп ролей и ошибки связывания аккаунтов и сброса учётных данных.
Исправлено раскрытие сменённого секрета клиента, полученного из хранилища секретов.
Команда
show-configбольше не должна выводить пароль хранилища ключей открытым текстом.Исправлены проверка почты в приватной вкладке после перезапуска, выход со страниц с вложенными вкладками и отдельные случаи работы SCIM.
Что учесть
Для делегированного администрирования важно проверить, что ограниченная роль видит только разрешённые группы и свойства пользователей. Выпуск также обновляет библиотеки и платформу Quarkus.
После установки проверьте восстановление доступа и вход через свои внешние источники. Секреты клиента и пароль хранилища не должны попадать в диагностические ответы и вывод команд.