CVE-2024-53843

@dapperduckling/keycloak-connector-server, Node.js uygulamalarının ve ön uç istemcilerinin keycloak ile etkileşime girmesi için oluşturulmuş görüş odaklı bir kütüphaneler serisidir. Uygulamanın kimlik doğrulama akışında bir Yansıtılan Siteler Arası Betik Çalıştırma (XSS) zafiyeti keşfedilmiştir. Bu sorun, URL parametrelerinin uygun şekilde temizlenmemesinden kaynaklanmakta ve URL çubuğu içeriğinin HTML sayfasına enjekte edilip yansıtılmasına izin vermektedir. Bir saldırgan, bağlantıyı ziyaret eden mağdurun tarayıcısında rastgele JavaScript kodu çalıştırmak için kötü amaçlı bir URL hazırlayabilir. Bu kimlik doğrulama kütüphanesini kullanan tüm uygulamalar savunmasızdır. Uygulama kullanıcıları, hazırlanmış kötü amaçlı bir bağlantıya tıklamaya ikna edilirlerse risk altındadırlar. Zafiyet, etkilenen URL parametrelerinde kullanıcı girişinin uygun şekilde temizlenmesi ve kaçırılması sağlanarak sürüm 2.5.5'te giderilmiştir. Kullanıcıların yükseltme yapmaları şiddetle önerilir. Yükseltmenin hemen mümkün olmadığı durumlarda, kullanıcılar aşağıdaki geçici çözümleri uygulayabilir: 1. Şüpheli URL parametreleri içeren kötü amaçlı istekleri engellemek için bir Web Uygulaması Güvenlik Duvarı (WAF) kullanın veya 2. Özellikle etkilenen parametreleri hedefleyerek, doğrudan uygulamanın ara katman yazılımı (middleware) veya ters proxy katmanı içinde girdi doğrulaması ve kaçırma işlemlerini uygulayın.