リモートホストにインストールされている Keycloak のバージョンは、 以前です 26.3.2。したがって、GHSA-qj5r-2r5p-phc7アドバイザリに記載されているSMTPインジェクションの脆弱性の影響を受けます。

  - Keycloak サービスに脆弱性が見つかりました。電子メール登録中に特殊文字が SMTP インジェクションを実行し、不要な短いメールが予期せず送信されることがあります。メールは 64 文字に制限されています (メールのローカル部分に限定)。したがって、攻撃は非常に短いメール (件名と少ないデータ、例: 60 文字) に限られます。この欠陥の直接的な唯一の結果は、Keycloakサーバーから送信された要求されていないメールです。ただし、このアクションは、より巧妙な攻撃の前に発生する可能性があります。
    (CVE-2025-8419)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Keycloak <= 26.3.2 SMTP インジェクションGHSA-qj5r-2r5p-phc7

medium Nessus プラグイン ID 246413

バージョン 1.2

バージョン 1.1

バージョン 1.2 Jan 21, 2026, 5:00 PM IAVM reference Plugin Feed: 202601211700
バージョン 1.1 Aug 8, 2025, 11:45 PM New Plugin Feed: 202508082345