There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - A flaw was found in Keycloak. When an authenticated attacker attempts to merge accounts with another
    existing account during an identity provider (IdP) login, the attacker will subsequently be prompted to
    "review profile" information. This vulnerability allows the attacker to modify their email address to
    match that of a victim's account, triggering a verification email sent to the victim's email address. The
    attacker's email address is not present in the verification email content, making it a potential phishing
    opportunity. If the victim clicks the verification link, the attacker can gain access to the victim's
    account. (CVE-2025-7365)

远程主机上安装的 Keycloak 版本低于 26.3.0。因此会受到钓鱼漏洞的影响。在 Keycloak 中发现一个缺陷。如果经身份验证的攻击者在身份提供程序 (IdP) 登录期间尝试将帐户与其他现有帐户合并时系统随后会提示攻击者“查看配置文件”信息。此漏洞允许攻击者修改其电子邮件地址以匹配受害者帐户的地址从而触发发送到受害者电子邮件地址的验证电子邮件。攻击者的电子邮件地址未出现在验证电子邮件内容中，这使其成为潜在的钓鱼机会。如果受害者点击验证链接攻击者便可获得受害者帐户的访问权限。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端主機上安裝的 Keycloak 版本低於 26.3.0，因此會受到網路釣魚弱點影響。在 Keycloak 中發現一個瑕疵。當經驗證的攻擊者嘗試在身分識別提供者 (IdP) 登入期間合併帳戶和其他現有帳戶時系統隨後會提示攻擊者「檢閱設定檔」資訊。此弱點允許攻擊者修改其電子郵件地址以符合受害者帳戶進而觸發傳送至受害者電子郵件地址的驗證電子郵件。攻擊者的電子郵件地址不會出現在驗證電子郵件內容中而成為可能的網路釣魚機會。如果受害者按一下驗證連結攻擊者就可取得受害者帳戶的存取權。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

リモートホストにインストールされている Keycloak のバージョンは、26.3.0 より前です。したがって、フィッシングの脆弱性の影響を受けます。Keycloak に欠陥が見つかりました。認証された攻撃者が、アイデンティティプロバイダーIdPのログイン中に、アカウントを別の既存のアカウントと統合しようとすると、その後、「プロファイル情報を確認する」ように指示されます。この脆弱性により、攻撃者はメールアドレスを被害者のアカウントのものと一致するように変更し、被害者のメールアドレスに検証メールを送信する可能性があります。攻撃者のメールアドレスが検証メールのコンテンツに存在しないため、フィッシングの機会となる可能性があります。被害者が検証リンクをクリックすると、攻撃者は被害者のアカウントへのアクセス権を取得できます。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The version of Keycloak installed on the remote host is prior to 26.3.0. It is, therefore, affected by a phishing vulnerability. A flaw was found in Keycloak. When an authenticated attacker attempts to merge accounts with another existing account during an identity provider (IdP) login, the attacker will subsequently be prompted to 'review profile' information. This vulnerability allows the attacker to modify their email address to match that of a victim's account, triggering a verification email sent to the victim's email address. The attacker's email address is not present in the verification email content, making it a potential phishing opportunity. If the victim clicks the verification link, the attacker can gain access to the victim's account.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
428684	SCA: security update for org.keycloak:keycloak-services (GHSA-xhpr-465j-7p9q)	Tenable Cloud Security	SCA Checks	2025/7/30	2026/7/2	high
428684	SCA: security update for org.keycloak:keycloak-services (GHSA-xhpr-465j-7p9q)	Tenable Self-Hosted Container Security	SCA Checks	2025/7/30	2026/7/2	high
242321	Keycloak < 26.3.0 钓鱼漏洞	Nessus	Misc.	2025/7/18	2026/1/21	medium
242321	Keycloak < 26.3.0 網路釣魚弱點	Nessus	Misc.	2025/7/18	2026/1/21	medium
242321	Keycloak < 26.3.0 フィッシングの脆弱性	Nessus	Misc.	2025/7/18	2026/1/21	medium
242321	Keycloak < 26.3.0 Phishing Vulnerability	Nessus	Misc.	2025/7/18	2026/1/21	medium

检测

插件搜索

high

high

medium

medium

medium

medium