远程主机上安装的 Keycloak 版本低于 26.6.x26.6.6. 因此，该应用程序受到多个漏洞的影响：

  - 在 Keycloak 的旧客户端启动的帐户链接端点中发现一个缺陷。用于保护帐户链接进程免受未经授权请求影响的机制依赖于可由恶意 OIDC 客户端预测的哈希。通过诱骗用户进行认证，攻击者控制的客户端可伪造有效的链接 URL，以便将受害者的帐户连接到攻击者的外部身份。这会导致完全帐户接管，从而允许攻击者以受害者的身份登录。（CVE-2026-15571）

  - 在 Keycloak 的管理界面中发现一个漏洞，允许特定管理员查看他们无权访问的群组相关信息。当启用细粒度管理员权限 （FGAP v2） 时，有权查看特定角色的管理员还可以查看分配给该角色的所有组的列表，因为系统无法检查该管理员是否有权限查看这些特定组。（CVE-2026-14613）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端主機上安裝的 Keycloak 版本早於 26.6.x26.6.6。因此，會受到多個弱點影響：

  - 在 Keycloak 的舊版用戶端啟動帳戶連結端點中發現缺陷。用於保護帳戶連結程序免於未經授權要求的機制依賴惡意 OIDC 用戶端可預測的雜湊。透過誘騙使用者進行身份驗證，攻擊者控制的用戶端可以偽造有效的連結 URL，將受害者的帳戶連接到攻擊者的外部身分。這會導致完全帳戶接管，允許攻擊者以受害者身分登入。（CVE-2026-15571）

  - 在 Keycloak 的管理介面中發現一個弱點，允許某些管理員查看他們不應存取的群組相關資訊。啟用精細管理員權限 （FGAP v2） 時，允許查看特定角色的管理員也可以查看指派給該角色的所有群組清單，因為系統無法檢查管理員是否具有檢視這些特定群組的權限。（CVE-2026-14613）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

リモートホストにインストールされているKeycloakのバージョンは、26.6.6より前の26.6.xです。そのため、以下の複数の脆弱性の影響を受けます。

  - Keycloak のレガシークライアントが開始するアカウントリンクエンドポイントに欠陥が見つかりました。アカウントリンクプロセスを不正なリクエストから保護するために使用されるメカニズムは、悪意のある OIDC クライアントによって予測可能なハッシュに依存しています。ユーザーを騙して認証させることにより、攻撃者がコントロールするクライアントが有効なリンク URL を偽造し、被害者のアカウントを攻撃者の外部 ID へと結び付ける可能性があります。これにより、アカウントが完全に乗っ取られ、攻撃者が被害者としてログインできるようになります。(CVE-2026-15571)

  - Keycloakの管理インターフェイスに脆弱性が発見され、特定の管理者がアクセス権を持たないグループに関する情報を表示する可能性があります。ファイングレイン管理者アクセス許可 (FGAP v2) が有効な場合、特定のロールの表示を許可された管理者は、そのロールに割り当てられているすべてのグループのリストも表示できます。これは、管理者が特定のグループを表示するアクセス許可を持っているかどうかをシステムがチェックできないためです。(CVE-2026-14613)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The version of Keycloak installed on the remote host is 26.6.x prior to 26.6.6. It is, therefore, affected by multiple vulnerabilities:

  - A flaw was found in the legacy client-initiated account-linking endpoint of Keycloak. The mechanism used     to protect the account-linking process from unauthorized requests relies on a hash that can be predicted     by a malicious OIDC client. By tricking a user into authenticating, an attacker-controlled client can     forge a valid linking URL to connect the victim's account to an attacker's external identity. This     results in a full account takeover, allowing the attacker to log in as the victim. (CVE-2026-15571)

  - A vulnerability was discovered in Keycloak's administrative interface that allows certain administrators     to see information about groups they should not have access to. When Fine-Grained Admin Permissions     (FGAP v2) are enabled, an administrator who is allowed to see a specific role can also see a list of all     groups assigned to that role, because the system fails to check whether the administrator has permission     to view those specific groups. (CVE-2026-14613)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名稱	產品	系列	已發布	已更新	嚴重性
338316	Keycloak 26.6.x < 26.6.6 多个漏洞	Nessus	Misc.	2026/8/20	2026/8/28	medium
338316	Keycloak 26.6.x < 26.6.6 多個弱點	Nessus	Misc.	2026/8/20	2026/8/28	medium
338316	Keycloak 26.6.x < 26.6.6 複数の脆弱性	Nessus	Misc.	2026/8/20	2026/8/28	medium
338316	Keycloak 26.6.x < 26.6.6 Multiple Vulnerabilities	Nessus	Misc.	2026/8/20	2026/8/28	medium

偵測

搜尋 Plugin

medium

medium

medium

medium