There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - A flaw was found in the Keycloak organization feature, which allows the incorrect assignment of an
    organization to a user if their username or email matches the organization’s domain pattern. This issue
    occurs at the mapper level, leading to misrepresentation in tokens. If an application relies on these
    claims for authorization, it may incorrectly assume a user belongs to an organization they are not a
    member of, potentially granting unauthorized access or privileges. (CVE-2025-1391)

远程主机上安装的 Keycloak 版本为低于 26.0.10 的 26.0，低于 26.1.3 的 26.1 或低于 26.2.0 的版本。因此，该软件受到不当授权漏洞的影响。在 Keycloak 组织功能中发现一个缺陷，如果用户的用户名或电子邮件匹配组织的域模式，则系统会将组织错误地分配给用户。此问题发生在映射器级别，会导致标记中出现错误表示。如果应用程序依赖这些授权声明，则可能错误地假设用户属于他们并不属于的组织，从而可能授予未经授权的访问或权限。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端主機上安裝的 Keycloak 是 26.0.10 之前的 26.0 版、26.1.3 之前的 26.1 版或 26.2.0 之前的版本，因此會受到不當授權弱點的影響。在 Keycloak 組織功能中發現一個瑕疵，如果使用者的使用者名稱或電子郵件地址符合組織的網域模式，此瑕疵會允許將組織錯誤地指派給使用者。此問題發生在對應器層級，會導致 Token 錯誤呈現。如果應用程式依賴這些聲明進行授權，則可能會錯誤地假設使用者屬於其並非成員的組織，進而可能授予未經授權的存取權或特權。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

リモートホストにインストールされている Keycloak のバージョンは、26.0.10 より前の 26.0、26.1.3 より前の 26.1、26.2.0 より前です。したがって、不適切な認証の脆弱性の影響を受けます。Keycloak 組織機能に欠陥が見つかりました。これにより、ユーザー名またはメールが組織のドメインパターンと一致する場合に、組織をユーザーに不適切に割り当てることができます。この問題はマッパーレベルで発生し、トークンでの不正確な表示につながります。アプリケーションがこれらの承認の要求に依存している場合、ユーザーがメンバーではない組織に属していると誤って想定し、承認されていないアクセスや権限を付与する可能性があります。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The version of Keycloak installed on the remote host is 26.0 prior to 26.0.10, 26.1 prior to 26.1.3, or prior to 26.2.0. It is, therefore, affected by an Improper Authorization vulnerability. A flaw was found in the Keycloak organization feature, which allows the incorrect assignment of an organization to a user if their username or email matches the organization’s domain pattern. This issue occurs at the mapper level, leading to misrepresentation in tokens. If an application relies on these claims for authorization, it may incorrectly assume a user belongs to an organization they are not a member of, potentially granting unauthorized access or privileges.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
421072	SCA: security update for org.keycloak:keycloak-services (GHSA-gvgg-2r3r-53x7)	Tenable Self-Hosted Container Security	SCA Checks	2025/3/11	2026/7/2	medium
421072	SCA: security update for org.keycloak:keycloak-services (GHSA-gvgg-2r3r-53x7)	Tenable Cloud Security	SCA Checks	2025/3/11	2026/7/2	medium
216477	Keycloak 26.x < 26.0.10/26.1.x < 26.1.3/26.2.0 不当授权	Nessus	Misc.	2025/2/19	2026/1/21	medium
216477	Keycloak 26.x < 26.0.10 / 26.1.x < 26.1.3 / 26.2.0 不當授權	Nessus	Misc.	2025/2/19	2026/1/21	medium
216477	Keycloak 26.x < 26.0.10/26.1.x < 26.1.3/26.2.0 不適切な認証	Nessus	Misc.	2025/2/19	2026/1/21	medium
216477	Keycloak 26.x < 26.0.10 / 26.1.x < 26.1.3 / 26.2.0 Improper Authorization	Nessus	Misc.	2025/2/19	2026/1/21	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium