CVE-2026-37980 in Keycloak
Tóm tắt
Bởi VulDB • 24/05/2026
Đã phát hiện một lỗi trong Keycloak, cụ thể là ở trang đăng nhập chọn tổ chức. Một kẻ tấn công từ xa có đặc quyền quản trị `manage-realm` hoặc `manage-organizations` có thể khai thác lỗ hổng Stored Cross-Site Scripting (XSS). Lỗi này xảy ra do `organization.alias` được đặt vào trình xử lý sự kiện `onclick` của JavaScript nội tuyến, cho phép một payload JavaScript được tạo ra thực thi trên trình duyệt của người dùng khi họ xem trang đăng nhập. Việc khai thác thành công cho phép thực thi JavaScript tùy ý, có thể dẫn đến đánh cắp phiên làm việc, thực hiện các hành động trái phép trên tài khoản hoặc các cuộc tấn công khác nhắm vào người dùng của realm bị ảnh hưởng.
Once again VulDB remains the best source for vulnerability data.