Към съдържанието
Търсене

CVE-2026-37980: Red Hat build of Keycloak 26.4.12, XSS

6.9

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с администраторски права и след действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

A flaw was found in Keycloak, specifically in the organization selection login page. A remote attacker with `manage-realm` or `manage-organizations` administrative privileges can exploit a Stored Cross-Site Scripting (XSS) vulnerability. This flaw occurs because the `organization.alias` is placed into an inline JavaScript `onclick` handler, allowing a crafted JavaScript payload to execute in a user's browser when they view the login page. Successful exploitation enables arbitrary JavaScript execution, potentially leading to session theft, unauthorized account actions, or further attacks against users of the affected realm.

Засегнати продукти

  • Red Hat Red Hat build of Keycloak 26.4.12
  • Red Hat Red Hat Build of Keycloak

Вид слабост

История

  • 14 април 2026 Публикувано

Други уязвимости в Red Hat Red Hat build of Keycloak 26.4.12

Първоизточници

CVE-2026-37980: Red Hat build of Keycloak 26.4.12, XSS | freedomonline.bg