遠端主機上安裝的 Keycloak 版本低於 26.3.0，因此會受到網路釣魚弱點影響。在 Keycloak 中發現一個瑕疵。當經驗證的攻擊者嘗試在身分識別提供者 (IdP) 登入期間合併帳戶和其他現有帳戶時系統隨後會提示攻擊者「檢閱設定檔」資訊。此弱點允許攻擊者修改其電子郵件地址以符合受害者帳戶進而觸發傳送至受害者電子郵件地址的驗證電子郵件。攻擊者的電子郵件地址不會出現在驗證電子郵件內容中而成為可能的網路釣魚機會。如果受害者按一下驗證連結攻擊者就可取得受害者帳戶的存取權。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Keycloak < 26.3.0 網路釣魚弱點

medium Nessus Plugin ID 242321

版本 1.2