В Keycloak был обнаружен недостаток, в частности, на странице входа в систему выбора организации. Удаленный злоумышленник с административными привилегиями «manage-realm» или «manage-organizations» может воспользоваться уязвимостью хранимого межсайтового сценария (XSS). Этот недостаток возникает из-за того, что `organization.alias` помещается во встроенный обработчик JavaScript `onclick`, позволяя созданной полезной нагрузке JavaScript выполняться в браузере пользователя при просмотре страницы входа.
Успешная эксплуатация обеспечивает произвольное выполнение JavaScript, что потенциально может привести к краже сеанса, несанкционированным действиям с учетной записью или дальнейшим атакам на пользователей затронутой области.
Показать оригинальное описание (EN)
A flaw was found in Keycloak, specifically in the organization selection login page. A remote attacker with `manage-realm` or `manage-organizations` administrative privileges can exploit a Stored Cross-Site Scripting (XSS) vulnerability. This flaw occurs because the `organization.alias` is placed into an inline JavaScript `onclick` handler, allowing a crafted JavaScript payload to execute in a user's browser when they view the login page. Successful exploitation enables arbitrary JavaScript execution, potentially leading to session theft, unauthorized account actions, or further attacks against users of the affected realm.
Характеристики атаки
Последствия
Строка CVSS v3.1