There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - A flaw was found in Keycloak. A broken access control vulnerability in the Account Resources user lookup
    endpoint allows a remote authenticated user, who owns at least one User-Managed Access (UMA) resource, to
    enumerate and harvest personally identifiable information (PII) for all realm users. By sending crafted
    requests with arbitrary usernames or email values, the endpoint returns full profile objects for unrelated
    users. This leads to broad profile-level information disclosure. (CVE-2026-37981)

之前 26.6.2 安装的 Keycloak 版本受到多个漏洞的影响，包括：

  - 在 Keycloak 的重定向 URI 验证逻辑中发现一个缺陷。攻击者可绕过验证以将用户重定向到恶意网站，从而可能导致钓鱼攻击和凭据窃取。（CVE-2026-7504）

  - OIDC 登录流中存在会话固定漏洞。未经身份验证的攻击者可以预先创建会话，如果用户使用攻击者的会话登录，就会造成帐户接管。（CVE-2026-7507）

  - 在 Keycloak 的 SAML 端点处理中发现一个缺陷。针对 SAML 端点的特制 XML 请求可通过消耗过多服务器资源，造成拒绝服务。（CVE-2026-7307）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

之前 26.6.2 安裝的 Keycloak 版本會受到多個弱點的影響，包括：

  - 在 Keycloak 的重新導向 URI 驗證邏輯中發現缺陷。攻擊者可以繞過驗證，將使用者重新導向到惡意網站，可能導致網路釣魚攻擊和憑證遭竊。（CVE-2026-7504）

  - OIDC 登入流程中存在階段作業固定弱點。未經驗證的攻擊者可預先建立工作階段，如果使用者使用攻擊者的工作階段登入，則會導致帳戶接管。（CVE-2026-7507）

  - 在 Keycloak 的 SAML 端點處理中發現缺陷。對 SAML 端點的特製 XML 要求可能會耗用過多的伺服器資源，從而造成拒絕服務。（CVE-2026-7307）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

26.6.2より前にインストールされたKeycloakバージョンは、以下を含む複数の脆弱性の影響を受けます。

  - KeycloakのリダイレクトURI検証ロジックに欠陥が見つかりました。攻撃者が検証をバイパスしてユーザーを悪意のあるサイトにリダイレクトし、フィッシング攻撃や認証情報の窃取につながる可能性があります。(CVE-2026-7504)

  - OIDC ログインフローに、セッション固定の脆弱性が存在します。認証されていない攻撃者が、セッションを事前に作成し、ユーザーが攻撃者のセッションを使用してログインした場合に、アカウントの乗っ取りを引き起こす可能性があります。(CVE-2026-7507)

  - Keycloak の SAML エンドポイント処理に欠陥が見つかりました。SAML エンドポイントに対する細工された XML リクエストが、サーバーリソースを過剰に消費することでサービス拒否を引き起こす可能性があります。(CVE-2026-7307)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Keycloak versions installed prior to 26.6.2 are affected by multiple vulnerabilities, including:

  - A flaw was found in Keycloak's redirect URI validation logic. An attacker can bypass     validation to redirect users to malicious sites, potentially leading to phishing attacks and     credential theft. (CVE-2026-7504)

  - A session fixation vulnerability exists in the OIDC login flow. An unauthenticated attacker     can pre-create sessions leading to account takeover if a user logs in using the attacker's     session. (CVE-2026-7507)

  - A flaw was found in Keycloak's SAML endpoint processing. A crafted XML request to the SAML     endpoint can cause a denial of service by consuming excessive server resources. (CVE-2026-7307)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
444157	SCA: security update for org.keycloak:keycloak-services (GHSA-933f-rg6j-f46p)	Tenable Cloud Security	SCA Checks	2026/6/30	2026/7/2	medium
444157	SCA: security update for org.keycloak:keycloak-services (GHSA-933f-rg6j-f46p)	Tenable Self-Hosted Container Security	SCA Checks	2026/6/30	2026/7/2	medium
459345	Echo: keycloak-25: security update to 25.0.6+e1org.keycloak:keycloak-services: security update to 26.4.12	Tenable Cloud Security	Echo Local Security Checks	2026/10/2	2026/10/5	medium
459345	Echo: keycloak-25: security update to 25.0.6+e1org.keycloak:keycloak-services: security update to 26.4.12	Tenable Self-Hosted Container Security	Echo Local Security Checks	2026/10/2	2026/10/5	medium
316461	Keycloak < 26.6.2 多个漏洞	Nessus	Misc.	2026/5/22	2026/6/3	medium
316461	Keycloak < 26.6.2 多個漏洞	Nessus	Misc.	2026/5/22	2026/6/3	medium
316461	Keycloak < 26.6.2 複数の脆弱性	Nessus	Misc.	2026/5/22	2026/6/3	medium
316461	Keycloak < 26.6.2 Multiple Vulnerabilities	Nessus	Misc.	2026/5/22	2026/6/3	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

medium