26.5.3 之前安裝的 Keycloak 版本受到 公告中所提及的多個弱點影響。

  - Keycloak 中存在一個缺陷其中 JSON Web Token (JWT) 授權授予預覽功能在 JWT 授權授予處理期間無法驗證使用者的停用狀態。啟用此功能後仍可使用已停用的使用者帳戶來取得有效的 JWT。 (CVE-2026-1609)

  - 攻擊者可在合法邀請 token 的 JSON Web Token (JWT) 承載中修改組織 ID 和目標電子郵件進而惡意利用此弱點。缺少密碼編譯簽章驗證可讓攻擊者成功在未經授權的組織中自我註冊進而導致未經授權的存取。 (CVE-2026-1529)

  - jwt-authorization-grant 流程中存在一個弱點其中伺服器無法在發出 token 前驗證識別提供者 (IdP) 是否已啟用。簽發者查閱機制 (lookupIdentityProviderFromIssuer) 可擷取 IdP 組態但不會篩選 isEnabled=false。如果系統管理員停用 IdP (例如因為遭入侵或離線)擁有該 IdP 簽署金鑰的實體仍可產生 Keycloak 接受的有效 JWT 宣告進而發出有效的存取 token。 (CVE-2026-1486)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Keycloak < 26.5.3 多個弱點

high Nessus Plugin ID 298654

版本 1.3