Keycloak <= 26.3.2 SMTP インジェクションGHSA-qj5r-2r5p-phc7

medium Nessus プラグイン ID 246413

Language:

概要

リモートホストに１つ以上のセキュリティ更新がありません。

説明

リモートホストにインストールされている Keycloak のバージョンは、以前です 26.3.2。したがって、GHSA-qj5r-2r5p-phc7アドバイザリに記載されているSMTPインジェクションの脆弱性の影響を受けます。

- Keycloak サービスに脆弱性が見つかりました。電子メール登録中に特殊文字が SMTP インジェクションを実行し、不要な短いメールが予期せず送信されることがあります。メールは 64 文字に制限されています (メールのローカル部分に限定)。したがって、攻撃は非常に短いメール (件名と少ないデータ、例: 60 文字) に限られます。この欠陥の直接的な唯一の結果は、Keycloakサーバーから送信された要求されていないメールです。ただし、このアクションは、より巧妙な攻撃の前に発生する可能性があります。
(CVE-2025-8419)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。