A flaw was found in Keycloak, specifically in the organization selection login page. A remote attacker with `manage-realm` or `manage-organizations` administrative privileges can exploit a Stored Cross-Site Scripting (XSS) vulnerability. This flaw occurs because the `organization.alias` is placed into an inline JavaScript `onclick` handler, allowing a crafted JavaScript payload to execute in a user's browser when they view the login page. Successful exploitation enables arbitrary JavaScript execution, potentially leading to session theft, unauthorized account actions, or further attacks against users of the affected realm.
CVE-2026-37980 is a Stored XSS vulnerability in Keycloak's organization selection login page where the organization.alias parameter is improperly placed in an inline JavaScript onclick handler. An attacker with administrative privileges can inject malicious JavaScript that executes in users' browsers, potentially leading to session theft and unauthorized actions.
يتعلق هذا الثغر بنقص في معالجة مدخلات معامل organization.alias في صفحة تسجيل الدخول الخاصة باختيار المنظمة في Keycloak. يسمح هذا النقص لمهاجم لديه امتيازات إدارية بحقن رمز JavaScript ضار سيتم تنفيذه في متصفح المستخدم عند زيارة صفحة تسجيل الدخول.
CVE-2026-37980 is a Stored XSS vulnerability in Keycloak's organization selection login page where the organization.alias parameter is improperly placed in an inline JavaScript onclick handler. An attacker with administrative privileges can inject malicious JavaScript that executes in users' browsers, potentially leading to session theft and unauthorized actions.
Update Keycloak to the latest patched version immediately. Implement input validation and output encoding for the organization.alias parameter. Apply Content Security Policy (CSP) headers to prevent inline script execution. Restrict manage-realm and manage-organizations administrative privileges to trusted personnel only. Audit existing organizations for malicious aliases and remove any suspicious entries.
قم بتحديث Keycloak إلى أحدث إصدار معدل فوراً. طبق التحقق من صحة المدخلات وترميز المخرجات لمعامل organization.alias. طبق رؤوس سياسة أمان المحتوى (CSP) لمنع تنفيذ البرامج النصية المضمنة. قيد امتيازات إدارة المجال والمنظمات للموظفين الموثوقين فقط. تدقيق المنظمات الموجودة للكشف عن الأسماء المستعارة الضارة وإزالة أي إدخالات مريبة.