安装的 Keycloak 版本低于 26.4.11 并受到多种漏洞的影响

  - 在 Keycloak 的 Account REST API 中发现一个缺陷其允许以较低安全级别认证的用户执行仅适用于较高保证级别会话的敏感操作。具体来说已获得受害者密码的攻击者可以在不首先证明拥有该因素的情况下删除受害者的注册 MFA/OTP 凭据。
  然后，攻击者可以注册自己的 MFA 设备，从而有效地完全控制该帐户。此漏洞破坏了多因素身份验证所提供的预期保护。 (CVE-2026-3429)

  - 在 Keycloak 中发现一个缺陷。Keycloak Admin API 中有一个授权绕过漏洞允许任何经认证的用户即使没有管理权限枚举其他用户的组织成员身份。如果攻击者知道受害者的唯一标识符 (UUID) 并且启用了组织功能就会发生此信息泄露。 (CVE-2026-2366)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Keycloak < 26.4.11 多种漏洞

medium Nessus 插件 ID 305939

版本 1.1