远程主机上安装的 Keycloak 版本低于 26.6.x26.6.6. 因此，该应用程序受到多个漏洞的影响：

  - 在 Keycloak 的旧客户端启动的帐户链接端点中发现一个缺陷。用于保护帐户链接进程免受未经授权请求影响的机制依赖于可由恶意 OIDC 客户端预测的哈希。通过诱骗用户进行认证，攻击者控制的客户端可伪造有效的链接 URL，以便将受害者的帐户连接到攻击者的外部身份。这会导致完全帐户接管，从而允许攻击者以受害者的身份登录。（CVE-2026-15571）

  - 在 Keycloak 的管理界面中发现一个漏洞，允许特定管理员查看他们无权访问的群组相关信息。当启用细粒度管理员权限 （FGAP v2） 时，有权查看特定角色的管理员还可以查看分配给该角色的所有组的列表，因为系统无法检查该管理员是否有权限查看这些特定组。（CVE-2026-14613）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Keycloak 26.6.x < 26.6.6 多个漏洞

medium Nessus 插件 ID 338316

版本 1.3