CVE-2026-41940-POC

CVE-2026-41940 – تجاوز المصادقة في cPanel/WHM (PoC)

يحتوي هذا المستودع على برهان مفهوم (PoC) لاستغلال CVE-2026-41940، مما يوضح تجاوزًا متعدد الخطوات للمصادقة في cPanel/WHM عبر حقن CRLF وتسميم الجلسة.

إخلاء مسؤولية: هذا الكود مخصص للأغراض التعليمية والاختبارات الأمنية المصرح بها فقط. لا تستخدمه ضد أنظمة لا تملكها أو ليس لديك إذن صريح لاختبارها.

نظرة عامة

يعيد هذا البرهان إنتاج سلسلة استغلال واقعية بناءً على تقنيات لاحظتها Hadrian وwatchTowr.

تسمح الثغرة للمهاجم بـ:

حقن بيانات جلسة عشوائية عبر حقن CRLF تسميم ملفات الجلسة على الخادم تجاوز المصادقة الحصول على وصول بمستوى الجذر إلى واجهات برمجة تطبيقات WHM كيف يعمل

يتبع الاستغلال عملية من 4 خطوات:

1. الحصول على جلسة ما قبل المصادقة إرسال طلب تسجيل دخول ببيانات اعتماد غير صالحة استخراج ملف تعريف ارتباط جلسة صالح (whostmgrsession / cpsession)
2. حقن حمولة CRLF إرسال رأس Authorization مُصمم (مشفر base64) حقن أزواج مفاتيح-قيم خبيثة في ملف الجلسة

تتضمن الحمولة المحقونة:

user=root hasroot=1 tfa_verified=1 cp_security_token=/cpsessXXXXXXXXXX 3. تشغيل إعادة توليد الجلسة إجبار cPanel على إعادة كتابة ملف الجلسة قد يحافظ على القيم الخبيثة المحقونة 4. التحقق من تجاوز المصادقة استدعاء نقطة نهاية واجهة برمجة تطبيقات WHM: /json-api/version?api.version=1

إذا نجح:

إرجاع HTTP 200 تأكيد الوصول بمستوى الجذر الاستخدام المتطلبات Python 3.x مكتبة requests

تثبيت التبعية:

pip install requests تشغيل الاستغلال python3 exploit.py --host خيارات إضافية: --ssl استخدام HTTPS --port تحديد منفذ مخصص --verbose تمكين إخراج التصحيح مثال python3 exploit.py --host example.com --ssl --port 2087 --verbose الإخراج المتوقع

الاستغلال الناجح:

[+] SUCCESS! Authenticated as root via CVE-2026-41940. [+] Cookie: whostmgrsession=... [+] Admin URL: https://target:2087/cpsess.../json-api/version?api.version=1

ملاحظات الموثوقية يعيد الاستغلال المحاولة حتى 5 مرات بسبب: تكرار تجزئة عشوائي في Perl احتمال استبدال قيم الجلسة المحقونة

التخفيف

إذا كنت مسؤول نظام:

طبق أحدث تصحيحات cPanel/WHM فورًا احظر نواقل حقن CRLF استخدم قواعد WAF لتنظيف الرؤوس راقب عمليات كتابة ملفات الجلسة غير الطبيعية

التفاصيل التقنية

تكمن الثغرة في:

معالجة غير صحيحة لبيانات الجلسة نقص التنظيف في تحليل الرؤوس تسلسل غير آمن لملفات الجلسة

يستغل البرهان:

حقن رأس Authorization حمولة CRLF مشفرة base64 منطق إعادة توليد الجلسة إشعار قانوني

يُقدَّم هذا البرهان كما هو لأغراض:

البحث الأمني الاختبارات الدفاعية الأغراض التعليمية

قد يؤدي الاستخدام غير المصرح به إلى انتهاك القوانين واللوائح.