CVE-2026-37980Keycloak在组织选择登录页面存在一个存储型跨站脚本（XSS）漏洞。拥有`manage-realm`或`manage-organizations`管理特权的远程攻击者，可以通过在`organization.alias`字段中注入恶意JavaScript代码来利用此漏洞。由于该别称被直接放置在内联JavaScript的`onclick`处理器中，当用户查看登录页面时，恶意代码将在其浏览器中执行。成功利用可能导致会话劫持、未授权账户操作或进一步攻击。
该漏洞源于Keycloak在处理组织别名（organization.alias）时存在安全缺陷，未能正确过滤用户输入。具体而言，应用程序将管理员可控的`organization.alias`值直接拼接并嵌入到HTML元素的`onclick`事件处理程序中，例如生成的代码类似于`<div onclick="handleSelect('USER_INPUT')">`。具备`manage-realm`或`manage-organizations`高权限的攻击者可以修改组织别名，构造恶意的JavaScript载荷（例如闭合引号并插入任意脚本）。当普通用户访问受影响领域的组织选择登录页面时，浏览器会解析该内联事件处理器，导致恶意脚本在受害者上下文中自动执行。这种存储型XSS漏洞允许攻击者窃取会话Cookie、执行未授权操作或作为进一步内网渗透的跳板。