遠端主機上安裝的 Keycloak 版本低於 26.0.8，因此會受到 26_0_8 公告中提及的多個弱點影響。

  - 據發現，Keycloak 中的拒絕服務弱點允許有權變更領域設定的系統管理使用者中斷服務。此動作是透過修改任何安全性標頭並插入新行來完成，這會造成 Keycloak 伺服器寫入已終止的要求，進而導致所述要求失敗。(CVE-2024-11734)

  - 在 Keycloak 中發現一個弱點。系統管理員使用者可能必須透過使用者可設定的 URL，存取敏感的伺服器環境變數和系統屬性。設定反向通道登出 URL 或管理 URL 時，系統管理使用者可包含 ${env.VARNAME} 或 ${PROPNAME} 之類的預留位置。在處理 URL 期間，伺服器會以環境變數或系統屬性的實際值取代這些預留位置。(CVE-2024-11736)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Keycloak 26.0.8 多個弱點 (26_0_8)

medium Nessus Plugin ID 214216

版本 1.3