何が起きたか
manage-client 権限やクライアント登録エンドポイントへのアクセスを持つ攻撃者が、大文字小文字を変えた javascript: や data: スキームのリダイレクト URI を持つクライアントを登録できます。被害者がログアウトフローや管理コンソールで細工したリンクをクリックすると、Keycloak のオリジンで任意のスクリプトが実行されます。
やること
26.6.4 以降へ更新します。あわせて、manage-client 権限やクライアント登録エンドポイントを使える利用者を必要最小限に絞ってください。
出典
GitHub Advisory Database（GHSA-v3f7-2p4r-mwfw）github.com英語 ↗上の要約は通り道編集部がまとめたものです。影響範囲と修正版は必ず各出典で確認してください。