遠端主機上安裝的 Keycloak 版本早26.4.x26.4.15於 或26.6.x26.6.6早於 。因此，其會受到一個弱點的影響：

  - 在 keycloak-services 元件的重設認證流程中發現缺陷，這是身分和存取管理的核心引擎。此問題允許未經驗證的攻擊者強制對任何使用者執行密碼重設程序，而無需按一下所需的電子郵件驗證連結。這可能導致攻擊者透過直接設定新憑證來完全控制目標使用者帳戶。（CVE-2026-18963）

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Keycloak 26.4.x < 26.4.15 / 26.6.x < 26.6.6 未經驗證的帳戶接管

critical Nessus Plugin ID 338317

版本 1.1