Myracknerd-Ops

Usuários autenticados com permissões `write:admin` podem realizar um ataque de cross-site scripting armazenado ao fazer upload de arquivos HTML ou SVG contendo JavaScript através do endpoint de upload de arquivos de configuração do Manager. Um invasor pode então atrair vítimas para o endpoint de recuperação de imagens não autenticado, que serve esses arquivos como `text/html` ou `image/svg+xml`, resultando na execução de scripts na origem da aplicação.

Um problema de autorização inadequada permite que administradores de realm acessem e modifiquem recursos globais ao chamar endpoints de administração que carecem de verificações de super administrador. Um invasor pode usar o endpoint '/configuration/manager' para alterar a variável global `keycloakUrl`, permitindo o redirecionamento da autenticação do console de outros realms para facilitar o phishing de credenciais. Além disso, isso permite a injeção de CSS, a substituição de tiles de mapa e a exclusão de logs.