CVE-2026-18963 — Keycloak फॉरगॉट-पासवर्ड फ्लो प्रमाणीकरण बाईपास PoC

Keycloak के "Forgot Password" / क्रेडेंशियल-चयन फ्लो में CVE-2026-18963 के लिए प्रूफ ऑफ कॉन्सेप्ट, जो एक हमलावर को आवश्यक पहचान सत्यापन (जैसे वैध OTP/दूसरा कारक) को ठीक से पूरा किए बिना UPDATE_PASSWORD चरण तक पहुँचने — और लक्षित खाते का पासवर्ड रीसेट करने — की अनुमति देता है।

स्क्रिप्ट फ्लो को पूरी तरह से HTTP के माध्यम से चलाती है (कोई ब्राउज़र/Selenium आवश्यक नहीं):

1. रियल्म का लॉगिन पेज लोड करना और "Forgot Password" लिंक ढूँढना।
2. रीसेट-क्रेडेंशियल पेज खोलना और tryAnotherWay ट्रिगर करना।
3. परिणामी क्रेडेंशियल चयनकर्ता पर उपयोगकर्ता नाम सबमिट करना।
4. Keycloak UI द्वारा ऑथ सेशन को जीवित रखने के लिए उपयोग किए जाने वाले startSessionPolling() रीस्टार्ट URL को निकालना और उसे दोबारा चलाना।
5. दूसरे क्रेडेंशियल चयनकर्ता तक पहुँचने के लिए प्रारंभिक रीसेट URL को दोबारा चलाना।
6. फ्लो को सीधे UPDATE_PASSWORD तक आगे बढ़ाने के लिए उपयोगकर्ता नाम फिर से सबमिट करना।
7. वैकल्पिक रूप से लक्षित खाते के लिए नया पासवर्ड सबमिट करना।

⚠️ अस्वीकरण

यह टूल केवल अधिकृत सुरक्षा परीक्षण और शोध के लिए प्रदान किया गया है (पेनेट्रेशन टेस्ट जिन्हें आप करने के लिए नियुक्त हैं, CTFs, आपके अपने प्रयोगशाला वातावरण, या समन्वित भेद्यता प्रकटीकरण)। इसे उन सिस्टमों के विरुद्ध चलाना जिनके आप स्वामी नहीं हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट लिखित प्राधिकरण नहीं है, अवैध है। लेखक और योगदानकर्ता इस टूल के दुरुपयोग या उससे होने वाली क्षति के लिए कोई दायित्व नहीं लेते हैं।