如公告 所述已安装低于 26.5.3 的Keycloak 版本受到多个漏洞的影响。

  - Keycloak 中存在一个缺陷其中 JSON Web Token (JWT) 授权授予预览功能无法在 JWT 授权处理期间验证用户的禁用状态。启用此功能后，已禁用的用户帐户仍可用于获取有效的 JWT。 (CVE-2026-1609)

  - 攻击者可通过修改合法邀请令牌的 JSON Web 令牌 (JWT) 负载内的组织 ID 和目标电子邮件来利用此漏洞。这种缺少加密签名验证的情况允许攻击者成功地在未经授权的组织中自我注册从而导致未经授权的访问。 (CVE-2026-1529)

  - jwt-authorization-grant 流中存在一个漏洞服务器在颁发标记之前无法验证是否启用了身份提供程序 (IdP)。颁发者查找机制 (lookupIdentityProviderFromIssuer) 会检索 IdP 配置但不会筛选 isEnabled=false。如果管理员禁用某个 IdP例如由于入侵或离开板载情况下拥有该 IdP 签名密钥的实体仍可以生成 Keycloak 接受的有效 JWT 断言从而导致颁发有效的访问令牌。 (CVE-2026-1486)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Keycloak < 26.5.3 多种漏洞

high Nessus 插件 ID 298654

版本 1.3