Keycloak 13.0.0 之前版本受到資訊洩漏弱點影響。未經驗證的遠端攻擊者可透過要求用戶端註冊端點來擷取有關公用用戶端的資訊，如果這些用戶端移至「機密」存取類型，則這些資訊可能會成為敏感資訊。

Keycloak 13.0.0 之前版本包含信息泄露漏洞。未经身份验证的远程攻击者通过请求客户端注册端点，可以检索公共客户端的相关信息，如果这些客户端切换为“机密”访问类型，则这些信息可能属于敏感信息。

Keycloak の 13.0.0 より前のバージョンは、情報漏洩の脆弱性の影響を受けます。クライアント登録エンドポイントをリクエストすることで、認証されていないリモートの攻撃者が、パブリッククライアントに関する情報を取得する可能性があります。これは、クライアントが「機密」アクセスタイプに移動する場合に影響を受ける可能性があります。

Keycloak versions before 13.0.0 suffer from an information disclosure vulnerability. By requesting the client registration endpoint, a remote and unauthenticated attacker could retrieve information about public clients which could be sensitive if these clients move to the 'confidential' access type.

There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - A flaw was found in keycloak in versions prior to 13.0.0. The client registration endpoint allows fetching
    information about PUBLIC clients (like client secret) without authentication which could be an issue if
    the same PUBLIC client changed to CONFIDENTIAL later. The highest threat from this vulnerability is to
    data confidentiality. (CVE-2020-27838)

ID	名稱	產品	系列	已發布	已更新	嚴重性
114260	Keycloak 資訊洩漏	Web App Scanning	Component Vulnerability	2024/4/22	2024/4/22	medium
114260	Keycloak 信息泄露	Web App Scanning	Component Vulnerability	2024/4/22	2024/4/22	medium
114260	Keycloak の情報漏洩	Web App Scanning	Component Vulnerability	2024/4/22	2024/4/22	medium
114260	Keycloak Information Disclosure	Web App Scanning	Component Vulnerability	2024/4/22	2024/4/22	medium
437171	SCA: security update for org.keycloak:keycloak-core (GHSA-pcv5-m2wh-66j3)	Tenable Cloud Security	SCA Checks	2026/1/28	2026/7/2	medium
437171	SCA: security update for org.keycloak:keycloak-core (GHSA-pcv5-m2wh-66j3)	Tenable Self-Hosted Container Security	SCA Checks	2026/1/28	2026/7/2	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium