遠端主機上安裝的 Keycloak 是 26.0.10 之前的 26.0 版、26.1.3 之前的 26.1 版或 26.2.0 之前的版本，因此會受到不當授權弱點的影響。在 Keycloak 組織功能中發現一個瑕疵，如果使用者的使用者名稱或電子郵件地址符合組織的網域模式，此瑕疵會允許將組織錯誤地指派給使用者。此問題發生在對應器層級，會導致 Token 錯誤呈現。如果應用程式依賴這些聲明進行授權，則可能會錯誤地假設使用者屬於其並非成員的組織，進而可能授予未經授權的存取權或特權。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Keycloak 26.x < 26.0.10 / 26.1.x < 26.1.3 / 26.2.0 不當授權

medium Nessus Plugin ID 216477

版本 1.1