There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - A flaw was identified in the Account REST API of Keycloak that allows a user authenticated at a lower
    security level to perform sensitive actions intended only for higher-assurance sessions. Specifically, an
    attacker who has already obtained a victim’s password can delete the victim’s registered MFA/OTP
    credential without first proving possession of that factor. The attacker can then register their own MFA
    device, effectively taking full control of the account. This weakness undermines the intended protection
    provided by multi-factor authentication. (CVE-2026-3429)

26.4.11 之前安裝的 Keycloak 版本受到多個弱點影響

  - 在 Keycloak 的帳戶 REST API 中發現一個瑕疵允許以較低安全性等級經過驗證的使用者執行僅供較高保證工作階段使用的敏感動作。具體而言已取得受害者密碼的攻擊者可刪除受害者已註冊的 MFA/OTP 認證而無需先證明擁有該係數。
  然後攻擊者可以註冊自己的 MFA 裝置有效地完全控制帳戶。此弱點會破壞多重驗證所提供的預定保護。 (CVE-2026-3429)

  - 在 Keycloak 中發現一個瑕疵。Keycloak Admin API 中有一個授權繞過弱點可讓任何經驗證的使用者 (即使是沒有管理權限的使用者) 列舉其他使用者的組織成員資格。如果攻擊者知道受害者的唯一識別碼 (UUID) 且已啟用「組織」功能就會發生此資訊洩漏。 (CVE-2026-2366)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

安装的 Keycloak 版本低于 26.4.11 并受到多种漏洞的影响

  - 在 Keycloak 的 Account REST API 中发现一个缺陷其允许以较低安全级别认证的用户执行仅适用于较高保证级别会话的敏感操作。具体来说已获得受害者密码的攻击者可以在不首先证明拥有该因素的情况下删除受害者的注册 MFA/OTP 凭据。
  然后，攻击者可以注册自己的 MFA 设备，从而有效地完全控制该帐户。此漏洞破坏了多因素身份验证所提供的预期保护。 (CVE-2026-3429)

  - 在 Keycloak 中发现一个缺陷。Keycloak Admin API 中有一个授权绕过漏洞允许任何经认证的用户即使没有管理权限枚举其他用户的组织成员身份。如果攻击者知道受害者的唯一标识符 (UUID) 并且启用了组织功能就会发生此信息泄露。 (CVE-2026-2366)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

26.4.11 より前のバージョンの Keycloak は、複数の脆弱性の影響を受けます

  - KeycloakのAccount REST APIに欠陥が見つかりました。この欠陥により、低いセキュリティレベルで認証されたユーザーが、高い保証性セッションのみを対象とした秘密のアクションを実行する可能性があります。具体的には、すでに被害者のパスワードを取得している攻撃者が、その要素の所有を最初に証明することなく、被害者の登録 MFA/OTP 認証情報を削除できます。
  攻撃者は独自の MFA デバイスを登録し、アカウントを完全にコントロールできるようになる可能性があります。この弱点は、多要素認証によって提供される本来守られるべき保護を弱めます。CVE-2026-3429

  - Keycloak に欠陥が見つかりました。Keycloak Admin API の認証バイパスの脆弱性により、管理権限を持たないユーザーも含め、認証されたユーザーが、他のユーザーの組織メンバーシップを列挙する可能性があります。この情報漏洩は、攻撃者が被害者の一意の識別子 (UUID) を知っており、かつ Organizations 機能が有効化されている場合に発生します。CVE-2026-2366

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Keycloak versions installed prior to 26.4.11 are affected by multiple vulnerabilities:

  - A flaw was identified in the Account REST API of Keycloak that allows a user authenticated   at a lower security level to perform sensitive actions intended only for higher-assurance   sessions. Specifically, an attacker who has already obtained a victim's password can delete   the victim's registered MFA/OTP credential without first proving possession of that factor.
  The attacker can then register their own MFA device, effectively taking full control of the   account. This weakness undermines the intended protection provided by multi-factor   authentication. (CVE-2026-3429)

  - A flaw was found in Keycloak. An authorization bypass vulnerability in the Keycloak Admin   API allows any authenticated user, even those without administrative privileges, to   enumerate the organization memberships of other users. This information disclosure occurs   if the attacker knows the victim's unique identifier (UUID) and the Organizations feature   is enabled. (CVE-2026-2366)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
458069	Echo: keycloak-25: security update to 25.0.6+e1	Tenable Cloud Security	Echo Local Security Checks	2026/10/2	2026/10/2	medium
458069	Echo: keycloak-25: security update to 25.0.6+e1	Tenable Self-Hosted Container Security	Echo Local Security Checks	2026/10/2	2026/10/2	medium
305939	Keycloak < 26.4.11 多個弱點	Nessus	Misc.	2026/4/10	2026/4/13	medium
305939	Keycloak < 26.4.11 多种漏洞	Nessus	Misc.	2026/4/10	2026/4/13	medium
305939	Keycloak < 26.4.11 の複数の脆弱性	Nessus	Misc.	2026/4/10	2026/4/13	medium
305939	Keycloak < 26.4.11 Multiple Vulnerabilities	Nessus	Misc.	2026/4/10	2026/4/13	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium