CVE-2014-3709

Wysokie

Opublikowano: 18/10/2017(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

Metoda org.keycloak.services.resources.SocialResource.callback w JBoss KeyCloak przed wersją 1.0.3.Final umożliwia zdalnym atakującym przeprowadzanie ataków typu cross-site request forgery (CSRF) z powodu braku ochrony przed CSRF.

Ocena ryzyka

Brak ochrony przed CSRF może prowadzić do nieautoryzowanego wykonania działań w imieniu użytkowników, co stwarza poważne zagrożenie dla bezpieczeństwa aplikacji.

Rekomendacja

Zaleca się aktualizację JBoss KeyCloak do wersji 1.0.3.Final lub nowszej, aby wprowadzić odpowiednią ochronę przed atakami CSRF.

Inne podatności w JBoss KeyCloak

CVE-2014-3651Wysokie
JBoss KeyCloak w wersjach przed 1.0.3.Final umożliwia zdalnym atakującym spowodowanie odmowy usługi (zużycie zasobów) poprzez przesłanie dużej wartości w parametrze size do auth/qrcode, co jest związane z generowaniem kodów QR.

Oryginalny opis (angielski, źródło NVD)

The org.keycloak.services.resources.SocialResource.callback method in JBoss KeyCloak before 1.0.3.Final allows remote attackers to conduct cross-site request forgery (CSRF) attacks by leveraging lack of CSRF protection.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS