CVE-2020-27838
keycloak के 13.0.0 से पहले के संस्करणों में एक दोष पाया गया। क्लाइंट पंजीकरण एंडपॉइंट बिना प्रमाणीकरण के PUBLIC क्लाइंट्स (जैसे क्लाइंट सीक्रेट) के बारे में जानकारी प्राप्त करने की अनुमति देता है, जो एक समस्या हो सकती है यदि वही...
- प्रकाशित
- 8 मार्च 2021
- अद्यतन
- 4 अग॰ 2024
- सीएनए असाइन करना
- redhat
- साक्ष्य देखे गए
- 7 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:Nमध्यम · अगले 30 दिन
- प्रतिशत
- 97.2%
- मॉडल दिनांक
- 18 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
keycloak के 13.0.0 से पहले के संस्करणों में एक दोष पाया गया। क्लाइंट पंजीकरण एंडपॉइंट बिना प्रमाणीकरण के PUBLIC क्लाइंट्स (जैसे क्लाइंट सीक्रेट) के बारे में जानकारी प्राप्त करने की अनुमति देता है, जो एक समस्या हो सकती है यदि वही PUBLIC क्लाइंट बाद में CONFIDENTIAL में बदल दिया जाए। इस भेद्यता से सबसे बड़ा खतरा डेटा गोपनीयता के लिए है।
स्रोत
- KeyCloak - Information Exposureटेम्पलेट
http/cves/2020/CVE-2020-27838.yaml
Nuclei Templatesघोषित शर्तें
- network: http($.protocol_keys)
- verification: regex,status,word($.matchers[*].type)
- CVE-2020-27838स्कैनर
CVE-2020-27838 - KeyCloak - सूचना प्रकटीकरण
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।