CVE-2022-4361

Опубликовано: 07 июл. 2023

Источник: nvd

CVSS3: 10

CVSS3: 6.1

EPSS Низкий

Описание

Keycloak, an open-source identity and access management solution, has a cross-site scripting (XSS) vulnerability in the SAML or OIDC providers. The vulnerability can allow an attacker to execute malicious scripts by setting the AssertionConsumerServiceURL value or the redirect_uri.

Ссылки

https://bugzilla.redhat.com/show_bug.cgi?id=2151618
Issue Tracking
Vendor Advisory
https://github.com/keycloak/keycloak/commit/a1cfe6e24e5b34792699a00b8b4a8016a5929e3a
Patch
https://bugzilla.redhat.com/show_bug.cgi?id=2151618
Issue Tracking
Vendor Advisory
https://github.com/keycloak/keycloak/commit/a1cfe6e24e5b34792699a00b8b4a8016a5929e3a
Patch

Уязвимые конфигурации

Конфигурация 1

cpe:2.3:a:redhat:keycloak:*:*:*:*:*:*:*:*

Версия до 21.1.2 (исключая)

Конфигурация 2

Одновременно

cpe:2.3:a:redhat:single_sign-on:*:*:*:*:*:*:*:*

Версия от 7.6 (включая) до 7.6.4 (исключая)

Одно из

cpe:2.3:o:redhat:enterprise_linux:7.0:*:*:*:*:*:*:*

cpe:2.3:o:redhat:enterprise_linux:8.0:*:*:*:*:*:*:*

cpe:2.3:o:redhat:enterprise_linux:9.0:*:*:*:*:*:*:*

Конфигурация 3

cpe:2.3:a:redhat:single_sign-on:-:*:*:*:text-only:*:*:*

Конфигурация 4

Одновременно

Одно из

cpe:2.3:a:redhat:openshift_container_platform:4.11:*:*:*:*:*:*:*

cpe:2.3:a:redhat:openshift_container_platform:4.12:*:*:*:*:*:*:*

cpe:2.3:a:redhat:openshift_container_platform_for_ibm_linuxone:4.9:*:*:*:*:*:*:*

cpe:2.3:a:redhat:openshift_container_platform_for_ibm_linuxone:4.10:*:*:*:*:*:*:*

cpe:2.3:a:redhat:openshift_container_platform_for_power:4.9:*:*:*:*:*:*:*

cpe:2.3:a:redhat:openshift_container_platform_for_power:4.10:*:*:*:*:*:*:*

cpe:2.3:o:redhat:enterprise_linux:8.0:*:*:*:*:*:*:*

EPSS

Процентиль: 82%

0.0173

Низкий

10 Critical

CVSS3

6.1 Medium

CVSS3

Дефекты

CWE-81

CWE-79

Связанные уязвимости

CVE-2022-4361

CVSS3: 8.1

redhat

больше 2 лет назад

CVE-2022-4361

CVSS3: 10

debian

больше 2 лет назад

Keycloak, an open-source identity and access management solution, has ...

GHSA-3p62-6fjh-3p5h

CVSS3: 10

github

больше 2 лет назад

Keycloak vulnerable to cross-site scripting when validating URI-schemes on SAML and OIDC

BDU:2023-03467

CVSS3: 8.1

fstec

больше 2 лет назад

Уязвимость программного средства для управления идентификацией и доступом Keycloak, связанная с отсутствием фильтрации имени несуществующей веб-страницы при генерации страницы о 404-й ошибке протокола HTTP, позволяющая нарушителю выполнить произвольный сценарий

EPSS

Процентиль: 82%

0.0173

Низкий

10 Critical

CVSS3

6.1 Medium

CVSS3

Дефекты

CWE-81

CWE-79