Keycloak <= 26.3.2 SMTP 注入 (GHSA-qj5r-2r5p-phc7)

medium Nessus 插件 ID 246413

语言：

简介

远程主机缺少一个或多个安全更新。

描述

远程主机上安装的 Keycloak 版本低于或等于 26.3.2。因此受到 GHSA-qj5r-2r5p-phc7 公告中提及的 SMTP 注入漏洞的影响。

- 在 Keycloak-services 中发现一个漏洞。在电子邮件注册期间使用的特殊字符可能执行 SMTP 注入并意外发送不需要的简短电子邮件。电子邮件的长度限制为 64 个字符电子邮件的受限本地部分因此攻击仅限于非常短的电子邮件主题和少量数据示例为 60 个字符。此缺陷的唯一直接后果是 Keycloak 服务器发送未经请求的电子邮件。但是，此操作可能是更复杂攻击的先兆。
(CVE-2025-8419)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。