CVE-2026-37980 in Keycloak
Riassunto
di VulDB • 16/06/2026
È stata rilevata una vulnerabilità in Keycloak, specificamente nella pagina di accesso per la selezione dell'organizzazione. Un attaccante remoto con privilegi amministrativi `manage-realm` o `manage-organizations` può sfruttare una vulnerabilità Stored Cross-Site Scripting (XSS). Tale difetto si verifica perché il valore di `organization.alias` viene inserito in un gestore eventi inline JavaScript (`onclick`), consentendo l'esecuzione di un payload JavaScript costruito ad hoc nel browser dell'utente quando questi visualizza la pagina di accesso. Lo sfruttamento riuscito consente l'esecuzione arbitraria di codice JavaScript, potenzialmente portando al furto della sessione, a azioni non autorizzate sull'account o ad ulteriori attacchi contro gli utenti del realm interessato.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.