Exploit CVE-2026-57517 CWP

Este repositorio contiene una herramienta de prueba de concepto basada en Go para probar un escenario conocido de vulnerabilidad de Control Web Panel (CWP) relacionado con CVE-2026-57517. La implementación apunta a una ruta de inyección SQL ciega e incluye el despliegue opcional de una webshell y un flujo de ejecución de comandos para fines de evaluación de seguridad autorizados.

Resumen

El proyecto está diseñado para ayudar a investigadores de seguridad y evaluadores autorizados a:

• detectar exposición potencial de CWP
• probar un host objetivo vulnerable en un entorno controlado
• desplegar una webshell temporal cuando la condición está presente
• ejecutar comandos y recopilar resultados
• generar informes de texto en vivo e informes JSON

Estructura del Proyecto

• exploit_cwp.go - implementación principal en Go
• go.mod - definición del módulo y versión de Go
• README.md - documentación del proyecto

Requisitos

• Go 1.22 o más reciente
• Acceso de red al host objetivo
• Una autorización válida para probar el sistema objetivo

Compilación del Proyecto

Desde la raíz del repositorio, ejecute:

git clone https://github.com/gagaltotal/CVE-2026-57517-CWP
go mod init CVE-2026-57517-CWP
go mod tidy
go build -o exploit_cwp .

Esto producirá un binario ejecutable llamado exploit_cwp.

Uso

Objetivo único

./exploit_cwp -t target.example.com

Múltiples objetivos desde un archivo

./exploit_cwp -f targets.txt -o live.txt --json report.json

Modo shell interactivo

./exploit_cwp -t target.example.com --rce -u cwpsvc

Opciones comunes

• -t : host o dirección IP objetivo único
• -f : archivo que contiene objetivos, uno por línea
• -u : nombre de usuario conocido para usar en lugar de enumeración automática
• -threads : número de trabajadores concurrentes
• -timeout : tiempo de espera HTTP en segundos
• -no-cleanup : dejar la shell desplegada en el objetivo
• -rce : habilitar modo shell interactivo
• -shell-url : usar una URL de shell existente directamente
• -v : habilitar salida verbosa
• -o : ruta para el informe de texto en vivo
• --json : ruta para el informe JSON

Archivos de Salida

La herramienta puede generar:

• un informe de texto en vivo para revisión rápida
• un informe JSON estructurado para automatización o análisis posterior

Aviso de Seguridad

Esta herramienta está destinada únicamente a pruebas de seguridad autorizadas e investigación. Úsela solo en sistemas en los que tenga permiso explícito para evaluar. Los mantenedores no respaldan ni apoyan el acceso no autorizado o cualquier actividad ilícita.

Descargo de Responsabilidad

El código en este repositorio se proporciona con fines educativos y de seguridad defensiva. El mal uso de este software puede violar las leyes y regulaciones aplicables.