Iniciar sesión
Deutsch English Español Polski
Media

JBoss KeyCloak Cross-site Scripting Vulnerability

  • Publicada: 17.05.2022
  • Actualizado: 11.10.2026 11:22

If a JBoss Keycloak application was configured to use * as a permitted web origin in the Keycloak administrative console, crafted requests to the login-status-iframe.html endpoint could inject arbitrary Javascript into the generated HTML code via the "origin" query parameter, leading to a cross-site scripting (XSS) vulnerability.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Java / Kotlin (Maven) org.keycloak:keycloak-core < 1.1.0.Beta1 1.1.0.Beta1

Referencias

Puntuación CVSS 6.1/10
Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Debilidad (CWE)
CWE-79
Plataforma
Java / Kotlin (Maven)
Paquete
org.keycloak:keycloak-core
Publicada
17.05.2022
Actualizado
11.10.2026 11:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-px42-mr8m-cpgh - CC BY 4.0

Historial de vulnerabilidades: org.keycloak:keycloak-core

Todas las vulnerabilidades publicadas de este paquete (Java / Kotlin (Maven)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (49) en el archivo
Entradas en total
49
Primera → última
10.2018 02.2025
Sin corrección
5
Explotada en ataques
0

Distribución por gravedad

  • Crítica 3
  • Alta 14
  • Media 31
  • Baja 1

Divulgaciones por año

Gravedad:
  1. Keycloak mTLS Authentication Bypass via Reverse Proxy TLS Termination
    Alta · 7.1 CVE-2024-10039 < 26.0.6 26.0.6
  2. Keycloak Denial of Service vulnerability
    Alta · 6.5 CVE-2023-6841 < 24.0.0 24.0.0
  3. Keycloak vulnerable to Plaintext Storage of User Password
    Alta · 8.8 CVE-2023-4918 >= 22.0.2, < 22.0.3 22.0.3
  4. Keycloak allows anyone to register new security device or key for any user by using WebAuthn password-less login flow
    Alta · 7.5 CVE-2021-3632 < 15.1.0 15.1.0
  5. keycloak vulnerable to unauthorized login via mail server setup
    Crítica · 9.1 CVE-2019-14837 < 8.0.0 8.0.0
  6. JBoss KeyCloak Cross-site Scripting Vulnerability esta entrada
    Media · 6.1 CVE-2014-3656 < 1.1.0.Beta1 1.1.0.Beta1
  7. Authentication Bypass in keycloak
    Alta · 8.8 CVE-2020-27826 < 12.0.0 12.0.0
  8. Temporary Directory Hijacking Vulnerability in Keycloak
    Alta · 7.3 CVE-2021-20202 < 13.0.0 13.0.0
  9. Improper Input Validation in Keycloak
    Alta · 8.8 CVE-2020-1714 < 11.0.0 11.0.0
  10. Improper privilege management in Keycloak
    Alta · 8.1 CVE-2020-14389 < 12.0.0 12.0.0
  11. Privilege Defined With Unsafe Actions in Keycloak
    Alta · 7.2 CVE-2019-10170 < 8.0.0 8.0.0
  12. keycloak Self Stored Cross-site Scripting vulnerability
    Crítica · 9.6 CVE-2021-20195 < 13.0.0 13.0.0
  13. Predictable password in Keycloak
    Crítica · 9.8 CVE-2020-1731 < 8.0.2 8.0.2
  14. Improper Input Validation and Cross-Site Request Forgery in Keycloak
    Alta · 8.8 CVE-2019-10199 < 7.0.0 7.0.0
  15. Improper Authentication in Keycloak
    Alta · 8.1 CVE-2018-14637 < 4.6.0 4.6.0
  16. Keycloak vulnerable to uncontrolled resource consumption
    Alta · 7.5 CVE-2014-3651 < 1.0.3 1.0.3
  17. Keycloak vulnerable to infinite loop based Denial of Service
    Alta · 7.5 CVE-2017-2646 < 2.5.5 2.5.5
  18. Improper Authentication in org.keycloak:keycloak-core
    Alta · 8.1 CVE-2016-8609 < 2.3.0 2.3.0

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.