There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - A vulnerability was found in Keycloak-services. Special characters used during e-mail registration may
    perform SMTP Injection and unexpectedly send short unwanted e-mails. The email is limited to 64 characters
    (limited local part of the email), so the attack is limited to very shorts emails (subject and little
    data, the example is 60 chars). This flaw's only direct consequence is an unsolicited email being sent
    from the Keycloak server. However, this action could be a precursor for more sophisticated attacks.
    (CVE-2025-8419)

远程主机上安装的 Keycloak 版本低于或等于 26.3.2。因此受到 GHSA-qj5r-2r5p-phc7 公告中提及的 SMTP 注入漏洞的影响。

  - 在 Keycloak-services 中发现一个漏洞。在电子邮件注册期间使用的特殊字符可能执行 SMTP 注入并意外发送不需要的简短电子邮件。电子邮件的长度限制为 64 个字符电子邮件的受限本地部分因此攻击仅限于非常短的电子邮件主题和少量数据示例为 60 个字符。此缺陷的唯一直接后果是 Keycloak 服务器发送未经请求的电子邮件。但是，此操作可能是更复杂攻击的先兆。
    (CVE-2025-8419)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

遠端主機上安裝的 Keycloak 版本為 26.3.2版或更舊版本。因此會受到 GHSA-qj5r-2r5p-phc7 公告中參照的 SMTP 插入弱點影響。

  - 在 Keycloak-services 中發現一個弱點。電子郵件註冊期間使用的特殊字元可能會執行 SMTP 插入並意外傳送不需要的簡短電子郵件。電子郵件限制為 64 個字元 (電子郵件的有限本機部分)因此攻擊僅限於非常簡短的電子郵件 (主旨和少量資料例如 60 個字元)。此缺陷唯一的直接後果是會從 Keycloak 伺服器傳送來路不明的電子郵件。不過此動作可能是更複雜攻擊的先兆。
    (CVE-2025-8419)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

リモートホストにインストールされている Keycloak のバージョンは、 以前です 26.3.2。したがって、GHSA-qj5r-2r5p-phc7アドバイザリに記載されているSMTPインジェクションの脆弱性の影響を受けます。

  - Keycloak サービスに脆弱性が見つかりました。電子メール登録中に特殊文字が SMTP インジェクションを実行し、不要な短いメールが予期せず送信されることがあります。メールは 64 文字に制限されています (メールのローカル部分に限定)。したがって、攻撃は非常に短いメール (件名と少ないデータ、例: 60 文字) に限られます。この欠陥の直接的な唯一の結果は、Keycloakサーバーから送信された要求されていないメールです。ただし、このアクションは、より巧妙な攻撃の前に発生する可能性があります。
    (CVE-2025-8419)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The version of Keycloak installed on the remote host is prior or equal to 26.3.2. It is, therefore, affected by SMTP inject vulnerability as reference in GHSA-qj5r-2r5p-phc7 advisory.

  - A vulnerability was found in Keycloak-services. Special characters used during e-mail registration may     perform SMTP Injection and unexpectedly send short unwanted e-mails. The email is limited to 64     characters (limited local part of the email), so the attack is limited to very shorts emails (subject and     little data, the example is 60 chars). This flaw's only direct consequence is an unsolicited email being     sent from the Keycloak server. However, this action could be a precursor for more sophisticated attacks.
    (CVE-2025-8419)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
435357	SCA: security update for org.keycloak:keycloak-services (GHSA-m4j5-5x4r-2xp9)	Tenable Cloud Security	SCA Checks	2025/9/18	2026/7/2	medium
435357	SCA: security update for org.keycloak:keycloak-services (GHSA-m4j5-5x4r-2xp9)	Tenable Self-Hosted Container Security	SCA Checks	2025/9/18	2026/7/2	medium
246413	Keycloak <= 26.3.2 SMTP 注入 (GHSA-qj5r-2r5p-phc7)	Nessus	Misc.	2025/8/8	2026/1/21	medium
246413	Keycloak <= 26.3.2 SMTP 插入 (GHSA-qj5r-2r5p-phc7)	Nessus	Misc.	2025/8/8	2026/1/21	medium
246413	Keycloak <= 26.3.2 SMTP インジェクションGHSA-qj5r-2r5p-phc7	Nessus	Misc.	2025/8/8	2026/1/21	medium
246413	Keycloak <= 26.3.2 SMTP Inject (GHSA-qj5r-2r5p-phc7)	Nessus	Misc.	2025/8/8	2026/1/21	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium