A flaw was found in the Keycloak package, more specifically org.keycloak.userprofile. When a user registers itself through registration flow, the "password" and "password-confirm" field from the form will occur as regular user attributes. All users and clients with proper rights and roles are able to read users attributes, allowing a malicious user with minimal access to retrieve the users passwords in clear text, jeopardizing their environment.
Se encontró una falla en el paquete Keycloak, más específicamente en org.keycloak.userprofile. Cuando un usuario se registra a través del flujo de registro, los campos "contraseña" y "confirmación de contraseña" del formulario aparecerán como atributos de usuario normales. Todos los usuarios y clientes con derechos y roles adecuados pueden leer los atributos de los usuarios, lo que permite a un usuario malicioso con acceso mínimo recuperar las contraseñas de los usuarios en texto claro, poniendo en peligro su entorno.
