CVE-2024-3656

Keycloak 24.0.5 存在访问控制缺陷漏洞，攻击者可利用任意已认证用户执行某些 API 操作，例如： 通过 testLDAPConnection 端点测试 LDAP 连接。 通过 getUnmanagedAttributes 端点检索任意用户的未管理属性。 通过 getProviders 端点访问客户端注册策略提供者。 我仅发现 testLDAPConnection 值得关注，攻击者可借此与外部主机进行 LDAP 交互。 复现步骤 首先从 https://www.keycloak.org/archive/downloads-24.0.4.html 下载存在漏洞的 KeyCloa...