CVE-2021-20323

CVE-2021-20323 描述 Keycloak 18.0.0 之前和 10.0.0 之后的版本在 clients-registrations 端点存在反射型 XSS 漏洞。该漏洞通过 POST 提交一个 JSON 结构触发，该结构的键是端点不支持的参数名。响应会在错误信息中回显该 JSON 键，并将头部设置为 Content-Type: text/html。在浏览器中执行时，JSON 键中的 HTML 代码会被解析，从而触发 JavaScript 代码。无需认证，漏洞影响所有可用的 realm。 当前，由于该漏洞需要 Content-Type: application/json 并...