There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - A flaw was found in Keycloak. A significant Broken Access Control vulnerability exists in the
    UserManagedPermissionService (UMA Protection API). When updating or deleting a UMA policy associated with
    multiple resources, the authorization check only verifies the caller's ownership against the first
    resource in the policy's list. This allows a user (Owner A) who owns one resource (RA) to update a shared
    policy and modify authorization rules for other resources (e.g., RB) in that same policy, even if those
    other resources are owned by a different user (Owner B). This constitutes a horizontal privilege
    escalation. (CVE-2025-14778)

如公告 所述已安装低于 26.5.3 的Keycloak 版本受到多个漏洞的影响。

  - Keycloak 中存在一个缺陷其中 JSON Web Token (JWT) 授权授予预览功能无法在 JWT 授权处理期间验证用户的禁用状态。启用此功能后，已禁用的用户帐户仍可用于获取有效的 JWT。 (CVE-2026-1609)

  - 攻击者可通过修改合法邀请令牌的 JSON Web 令牌 (JWT) 负载内的组织 ID 和目标电子邮件来利用此漏洞。这种缺少加密签名验证的情况允许攻击者成功地在未经授权的组织中自我注册从而导致未经授权的访问。 (CVE-2026-1529)

  - jwt-authorization-grant 流中存在一个漏洞服务器在颁发标记之前无法验证是否启用了身份提供程序 (IdP)。颁发者查找机制 (lookupIdentityProviderFromIssuer) 会检索 IdP 配置但不会筛选 isEnabled=false。如果管理员禁用某个 IdP例如由于入侵或离开板载情况下拥有该 IdP 签名密钥的实体仍可以生成 Keycloak 接受的有效 JWT 断言从而导致颁发有效的访问令牌。 (CVE-2026-1486)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

26.5.3 之前安裝的 Keycloak 版本受到 公告中所提及的多個弱點影響。

  - Keycloak 中存在一個缺陷其中 JSON Web Token (JWT) 授權授予預覽功能在 JWT 授權授予處理期間無法驗證使用者的停用狀態。啟用此功能後仍可使用已停用的使用者帳戶來取得有效的 JWT。 (CVE-2026-1609)

  - 攻擊者可在合法邀請 token 的 JSON Web Token (JWT) 承載中修改組織 ID 和目標電子郵件進而惡意利用此弱點。缺少密碼編譯簽章驗證可讓攻擊者成功在未經授權的組織中自我註冊進而導致未經授權的存取。 (CVE-2026-1529)

  - jwt-authorization-grant 流程中存在一個弱點其中伺服器無法在發出 token 前驗證識別提供者 (IdP) 是否已啟用。簽發者查閱機制 (lookupIdentityProviderFromIssuer) 可擷取 IdP 組態但不會篩選 isEnabled=false。如果系統管理員停用 IdP (例如因為遭入侵或離線)擁有該 IdP 簽署金鑰的實體仍可產生 Keycloak 接受的有效 JWT 宣告進而發出有效的存取 token。 (CVE-2026-1486)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

26.5.3 より前にインストールされている Keycloak のバージョンは、 のアドバイザリで言及されているように、複数の脆弱性の影響を受けます。

  - Keycloak に欠陥があり、JSON Web TokenJWT承認付与プレビュー機能が、JWT 承認付与処理中のユーザーの無効ステータスを検証できません。この機能が有効な場合、無効なユーザーアカウントを引き続き使用して、有効な JWT を取得できます。CVE-2026-1609

  - 攻撃者が、正当な招待トークンの JSON Web TokenJWTペイロード内で、組織 ID を変更しターゲットメールを送信することにより、この脆弱性を悪用する可能性があります。この暗号化署名認証がないため、攻撃者が認証されていない組織に正常に自己登録し、認証されていないアクセスを実行する可能性があります。CVE-2026-1529

  - jwt-authorization-grant フローに脆弱性が存在し、トークンを発行する前にアイデンティティプロバイダーIdPが有効になっている場合にサーバーが検証に失敗します。発行者検索メカニズム (lookupIdentityProviderFromIssuer) は、IdP 設定を取得しますが、isEnabled=false でフィルタリングしません。管理者が IdP を無効にした場合 (例: 侵害またはオフボードが原因)、その IdP の署名鍵を所有するエンティティは依然として、Keycloak が受け入れる有効な JWT アサーションを生成でき、有効なアクセストークンが発行されます。CVE-2026-1486

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Keycloak versions installed prior to 26.5.3 are affected by multiple vulnerabilities as referenced in the advisory.

  - A flaw in Keycloak where the JSON Web Token (JWT) authorization grant preview feature fails to validate a user's   disabled status during JWT authorization grant processing. When this feature is enabled, disabled user accounts   can still be used to obtain valid JWTs. (CVE-2026-1609)

  - An attacker can exploit this vulnerability by modifying the organization ID and target email within a legitimate   invitation token's JSON Web Token (JWT) payload. This lack of cryptographic signature verification allows the   attacker to successfully self-register into an unauthorized organization, leading to unauthorized   access. (CVE-2026-1529)

  - A vulnerability exists in the jwt-authorization-grant flow where the server fails to verify if an Identity   Provider (IdP) is enabled before issuing tokens. The issuer lookup mechanism (lookupIdentityProviderFromIssuer)   retrieves the IdP configuration but does not filter for isEnabled=false. If an administrator disables an IdP   (e.g., due to a compromise or offboarding), an entity possessing that IdP's signing key can still generate valid   JWT assertions that Keycloak accepts, resulting in the issuance of valid access tokens. (CVE-2026-1486)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
437679	SCA: security update for org.keycloak:keycloak-services (GHSA-fm6w-rrp3-2x4w)	Tenable Cloud Security	SCA Checks	2/10/2026	7/2/2026	medium
437679	SCA: security update for org.keycloak:keycloak-services (GHSA-fm6w-rrp3-2x4w)	Tenable Self-Hosted Container Security	SCA Checks	2/10/2026	7/2/2026	medium
457791	Echo: keycloak-25: security update to 25.0.6+e1org.keycloak:keycloak-services: security update to 26.2.13	Tenable Self-Hosted Container Security	Echo Local Security Checks	10/2/2026	10/5/2026	medium
457791	Echo: keycloak-25: security update to 25.0.6+e1org.keycloak:keycloak-services: security update to 26.2.13	Tenable Cloud Security	Echo Local Security Checks	10/2/2026	10/5/2026	medium
298654	Keycloak < 26.5.3 多种漏洞	Nessus	Misc.	2/11/2026	7/27/2026	high
298654	Keycloak < 26.5.3 多個弱點	Nessus	Misc.	2/11/2026	7/27/2026	high
298654	Keycloak < 26.5.3 の複数の脆弱性	Nessus	Misc.	2/11/2026	7/27/2026	high
298654	Keycloak < 26.5.3 Multiple Vulnerabilities	Nessus	Misc.	2/11/2026	7/27/2026	high

Detections

Analytics

Plugins Search

medium

medium

medium

medium

high

high

high

high