CVE-2023-6717
Açıklama
Keycloak'taki SAML istemci kaydında, bir yöneticinin kötü amaçlı JavaScript URI'larını Assertion Consumer Service POST Binding URL'leri (ACS) olarak kaydetmesine izin verebilen ve Siteler Arası Betik Çalıştırma (XSS) riski oluşturan bir açık bulundu. Bu sorun; bir realm içindeki kötü niyetli bir yöneticinin veya kayıt erişimine sahip bir istemcinin, farklı realm'lerdeki veya uygulamalardaki kullanıcıları hedef almasına ve form gönderimi sırasında onların bağlamlarında rastgele JavaScript çalıştırmasına olanak tanıyabilir. Bu durum, yetkisiz erişime ve zararlı eylemlere yol açarak tüm KC örneğinin gizliliğini, bütünlüğünü ve erişilebilirliğini tehlikeye atabilir.
Nasıl düzeltilir
- org.keycloak:keycloak-services22.0.10, 24.0.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| org.keycloak:keycloak-servicesMaven | v < 22.0.10, 23.0.0 ≤ v < 24.0.3 | 22.0.10, 24.0.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.