Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en la consola de cuenta de Keycloak (CVE-2019-10199)

Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-352 Falsificación de petición en sitios cruzados (Cross-Site Request Forgery)
Fecha de publicación:
14/08/2019
Última modificación:
28/10/2021

Descripción

Se detectó que la consola de cuenta de Keycloak, versiones hasta 6.0.1, no realizaba comprobaciones de encabezado adecuadas en algunas peticiones. Un atacante podría usar este fallo para engañar a un usuario autenticado para que realice operaciones por medio de una petición desde un dominio no confiable.

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:redhat:keycloak:*:*:*:*:*:*:*:* 6.0.1 (incluyendo)


Referencias a soluciones, herramientas e información