Średnia

Keycloak error_description injection on error pages that can trigger phishing attacks

Ujawniono: 17.10.2025
Aktualizacja: 11.10.2026 12:22

Keycloak’s account console accepts arbitrary text in the error_description query parameter. This text is directly rendered in error pages without validation or sanitization. While HTML encoding prevents XSS, an attacker can craft URLs with misleading messages (e.g., fake support phone numbers or URLs), which are displayed within the trusted Keycloak UI. This creates a phishing vector, potentially tricking users into contacting malicious actors.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Java / Kotlin (Maven)	org.keycloak:keycloak-account-ui	< 26.2.9, >= 26.3.0, < 26.3.4	26.2.9, 26.3.4
Java / Kotlin (Maven)	org.keycloak:keycloak-admin-ui	< 26.2.9, >= 26.3.0, < 26.3.4	26.2.9, 26.3.4

Odnośniki

Ocena CVSS 4.3/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N
Słabość (CWE): CWE-79
Platforma: Java / Kotlin (Maven)
Paczka: org.keycloak:keycloak-account-ui, org.keycloak:keycloak-admin-ui
Ujawniono: 17.10.2025
Aktualizacja: 11.10.2026 12:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-27gc-wj6x-9w55 - CC BY 4.0

Historia podatności: org.keycloak:keycloak-admin-ui

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

To jedyna znana podatność tej paczki.

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację