Keycloak < 26.3.0 钓鱼漏洞

medium Nessus 插件 ID 242321

语言：

简介

远程主机缺少一个或多个安全更新。

描述

远程主机上安装的 Keycloak 版本低于 26.3.0。因此会受到钓鱼漏洞的影响。在 Keycloak 中发现一个缺陷。如果经身份验证的攻击者在身份提供程序 (IdP) 登录期间尝试将帐户与其他现有帐户合并时系统随后会提示攻击者“查看配置文件”信息。此漏洞允许攻击者修改其电子邮件地址以匹配受害者帐户的地址从而触发发送到受害者电子邮件地址的验证电子邮件。攻击者的电子邮件地址未出现在验证电子邮件内容中，这使其成为潜在的钓鱼机会。如果受害者点击验证链接攻击者便可获得受害者帐户的访问权限。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。