Iniciar sesión
Deutsch English Español Polski
Media

Keycloak Cross-site Scripting (XSS) via assertion consumer service URL in SAML POST-binding flow

  • Publicada: 17.04.2024
  • Actualizado: 11.10.2026 13:20

Keycloak allows arbitrary URLs as SAML Assertion Consumer Service POST Binding URL (ACS), including JavaScript URIs (javascript:).

Allowing JavaScript URIs in combination with HTML forms leads to JavaScript evaluation in the context of the embedding origin on form submission.

Acknowledgements:

Special thanks to Lauritz Holtmann for reporting this issue and helping us improve our project.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Java / Kotlin (Maven) org.keycloak:keycloak-services < 22.0.10, >= 23.0.0, < 24.0.3 22.0.10, 24.0.3

Referencias

Puntuación CVSS 6/10
Vector CVSS
CVSS:3.1/AV:N/AC:H/PR:H/UI:R/S:U/C:H/I:H/A:L
Debilidad (CWE)
CWE-20, CWE-601, CWE-79
Plataforma
Java / Kotlin (Maven)
Paquete
org.keycloak:keycloak-services
Publicada
17.04.2024
Actualizado
11.10.2026 13:20

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-8rmm-gm28-pj8q - CC BY 4.0

Historial de vulnerabilidades: org.keycloak:keycloak-services

Todas las vulnerabilidades publicadas de este paquete (Java / Kotlin (Maven)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (98) en el archivo
Entradas en total
98
Primera → última
01.2022 08.2026
Sin corrección
16
Explotada en ataques
0

Distribución por gravedad

  • Crítica 3
  • Alta 26
  • Media 51
  • Baja 18

Divulgaciones por año

Gravedad:
  1. Keycloak: Unauthenticated account takeover via reset-credentials flow bypass
    Crítica · 9.1 CVE-2026-18963 >= 26.0.0, < 26.4.15, >= 26.5.0, < 26.6.6, >= 26.7.0, < 26.7.2 26.4.15, 26.6.6, 26.7.2
  2. Keycloak: Unauthorized access via improper validation of encrypted SAML assertions
    Alta · 7.7 CVE-2026-2092 <= 26.2.5, >= 26.3.0, <= 26.4.7, >= 26.5.0 sin corrección
  3. Keycloak has privilege escalation via improper scope mapping enforcement
    Alta · 7.3 CVE-2026-9795 < 26.6.4 26.6.4
  4. Keycloak: Open redirect when using wildcard valid redirect URIs in Keycloak
    Alta · 8.1 CVE-2026-7504 < 26.6.2 26.6.2
  5. Keycloak: Session fixation in OIDC login flow that can lead to account takeover
    Alta · 7.5 CVE-2026-7507 < 26.6.2 26.6.2
  6. Keycloak: Access token disclosure and implicit flow bypass via forged client data
    Alta · 7.1 CVE-2026-7571 < 26.6.2 26.6.2
  7. Keycloak: Privilege escalation via forged authorization codes due to SingleUseObjectProvider isolation flaw
    Alta · 7.4 CVE-2026-4282 < 26.5.7 26.5.7
  8. Keycloak: Application-Level DoS via Scope Processing
    Alta · 7.5 CVE-2026-4634 < 26.5.7 26.5.7
  9. Keycloak: UMA Policy Resource Injection Allows Unauthorized Cross-User Permission Grants
    Alta · 8.1 CVE-2026-4636 < 26.5.7 26.5.7
  10. Keycloak: Redirect URI validation bypass via ..;/ path traversal in OIDC auth endpoint
    Alta · 7.3 CVE-2026-3872 < 26.5.7 26.5.7
  11. Keycloak: Unauthorized authentication via disabled SAML Identity Provider
    Alta · 8.1 CVE-2026-2603 < 26.5.5 26.5.5
  12. Keycloak allows authentication using an Identity Provider (IdP) even after it has been disabled by an administrator
    Alta · 8.1 CVE-2026-3009 < 26.5.5 26.5.5
  13. Keycloak fails to verify if an Identity Provider (IdP) is enabled before issuing tokens
    Alta · 8.8 CVE-2026-1486 >= 26.5.0, < 26.5.3, < 26.4.9 26.5.3, 26.4.9
  14. Keycloak affected by improper invitation token validation
    Alta · 8.1 CVE-2026-1529 >= 26.5.0, < 26.5.3, < 26.2.13, >= 26.3.0, < 26.4.9 26.5.3, 26.2.13, 26.4.9
  15. Keycloak hostname verification
    Alta · 8.2 CVE-2025-3501 < 26.2.2 26.2.2
  16. org.keycloak:keycloak-services has Inefficient Regular Expression Complexity
    Alta · 6.5 CVE-2024-10270 < 24.0.9, >= 25.0.0, < 26.0.6 24.0.9, 26.0.6
  17. Keycloak has session fixation in Elytron SAML adapters
    Alta · 7.1 CVE-2024-7341 < 22.0.12, >= 23.0.0, < 24.0.7, >= 25.0.0, < 25.0.5 22.0.12, 24.0.7, 25.0.5
  18. Keycloak's admin API allows low privilege users to use administrative functions
    Alta · 8.1 CVE-2024-3656 < 24.0.5 24.0.5
  19. Keycloak exposes sensitive information in Pushed Authorization Requests (PAR)
    Alta · 7.5 CVE-2024-4540 < 24.0.5 24.0.5
  20. Keycloak path traversal vulnerability in redirection validation
    Alta · 8.1 CVE-2024-1132 < 22.0.10, >= 23.0.0, < 24.0.3 22.0.10, 24.0.3
  21. Keycloak's unvalidated cross-origin messages in checkLoginIframe leads to DDoS
    Alta · 7.4 CVE-2024-1249 < 22.0.10, >= 23.0.0, < 24.0.3 22.0.10, 24.0.3
  22. Keycloak Cross-site Scripting (XSS) via assertion consumer service URL in SAML POST-binding flow esta entrada
    Media · 6.0 CVE-2023-6717 < 22.0.10, >= 23.0.0, < 24.0.3 22.0.10, 24.0.3
  23. Keycloak path traversal vulnerability in the redirect validation
    Alta · 7.1 CVE-2024-2419 < 22.0.10, >= 23.0.0, < 24.0.3 22.0.10, 24.0.3
  24. The redirect_uri validation logic allows for bypassing explicitly allowed hosts that would otherwise be restricted
    Alta · 7.1 CVE-2023-6291 < 23.0.3 23.0.3
  25. Keycloak vulnerable to Improper Client Certificate Validation for OAuth/OpenID clients
    Alta · 7.1 CVE-2023-2422 < 21.1.2 21.1.2
  26. Keycloak vulnerable to cross-site scripting when validating URI-schemes on SAML and OIDC
    Crítica · 10.0 CVE-2022-4361 < 21.1.2 21.1.2
  27. Keycloak vulnerable to user impersonation via stolen UUID code
    Alta · 8.7 CVE-2023-0264 < 21.0.1 21.0.1
  28. JBoss Keycloak CSRF Vulnerability
    Alta · 8.8 CVE-2014-3709 < 1.0.3.Final 1.0.3.Final
  29. Keycloak vulnerable to privilege escalation on Token Exchange feature
    Crítica · 9.8 CVE-2022-1245 < 18.0.0 18.0.0
  30. Improper Authorization in Keycloak
    Alta · 8.8 CVE-2021-4133 < 15.1.1 15.1.1

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.