远程主机上安装的 Keycloak 版本低于或等于 26.3.3。因此如 GHSA-w2wj-hw98-233h 公告所述受到代码注入漏洞的影响。

  - 在 org.keycloak/keycloak-model-storage-service 中发现一个缺陷。KeycloakRealmImport 自定义资源替换导入的领域文档中的占位符可能引用环境变量。此替换进程允许在处理构建的领域文档时发动注入攻击。攻击者可利用此问题在领域导入过程中注入恶意内容。这可能会在 Keycloak 环境中造成意外后果。 (CVE-2025-9162)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Keycloak <= 26.3.3 代码注入 (GHSA-w2wj-hw98-233h)

medium Nessus 插件 ID 256694

版本 1.3