Keycloak 26.6.x < 26.6.6 多個弱點

medium Nessus Plugin ID 338316

語言:

概要

遠端主機受多個弱點影響。

說明

遠端主機上安裝的 Keycloak 版本早於 26.6.x26.6.6。因此，會受到多個弱點影響：

- 在 Keycloak 的舊版用戶端啟動帳戶連結端點中發現缺陷。用於保護帳戶連結程序免於未經授權要求的機制依賴惡意 OIDC 用戶端可預測的雜湊。透過誘騙使用者進行身份驗證，攻擊者控制的用戶端可以偽造有效的連結 URL，將受害者的帳戶連接到攻擊者的外部身分。這會導致完全帳戶接管，允許攻擊者以受害者身分登入。（CVE-2026-15571）

- 在 Keycloak 的管理介面中發現一個弱點，允許某些管理員查看他們不應存取的群組相關資訊。啟用精細管理員權限（FGAP v2）時，允許查看特定角色的管理員也可以查看指派給該角色的所有群組清單，因為系統無法檢查管理員是否具有檢視這些特定群組的權限。（CVE-2026-14613）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。