リモートホストにインストールされている Keycloak のバージョンは、26.3.0 より前です。したがって、フィッシングの脆弱性の影響を受けます。Keycloak に欠陥が見つかりました。認証された攻撃者が、アイデンティティプロバイダーIdPのログイン中に、アカウントを別の既存のアカウントと統合しようとすると、その後、「プロファイル情報を確認する」ように指示されます。この脆弱性により、攻撃者はメールアドレスを被害者のアカウントのものと一致するように変更し、被害者のメールアドレスに検証メールを送信する可能性があります。攻撃者のメールアドレスが検証メールのコンテンツに存在しないため、フィッシングの機会となる可能性があります。被害者が検証リンクをクリックすると、攻撃者は被害者のアカウントへのアクセス権を取得できます。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Keycloak < 26.3.0 フィッシングの脆弱性

medium Nessus プラグイン ID 242321

バージョン 1.2

バージョン 1.1

バージョン 1.2 Jan 21, 2026, 5:00 PM IAVM reference Plugin Feed: 202601211700
バージョン 1.1 Jul 19, 2025, 5:32 AM New Plugin Feed: 202507190532