Keycloak <= 26.3.2 SMTP 插入 (GHSA-qj5r-2r5p-phc7)

medium Nessus Plugin ID 246413

語言:

概要

遠端主機缺少一個或多個安全性更新。

說明

遠端主機上安裝的 Keycloak 版本為 26.3.2版或更舊版本。因此會受到 GHSA-qj5r-2r5p-phc7 公告中參照的 SMTP 插入弱點影響。

- 在 Keycloak-services 中發現一個弱點。電子郵件註冊期間使用的特殊字元可能會執行 SMTP 插入並意外傳送不需要的簡短電子郵件。電子郵件限制為 64 個字元 (電子郵件的有限本機部分)因此攻擊僅限於非常簡短的電子郵件 (主旨和少量資料例如 60 個字元)。此缺陷唯一的直接後果是會從 Keycloak 伺服器傳送來路不明的電子郵件。不過此動作可能是更複雜攻擊的先兆。
(CVE-2025-8419)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。