CVE-2026-41940 — Herramienta de investigación de omisión de autenticación de WHM/cPanel

Este repositorio contiene un script de Prueba de Concepto (PoC) basado en la cadena de omisión de autenticación de cPanel/WHM (a través de la cookie whostmgrsession y cabeceras HTTP). El script cambia la contraseña de root tras una intrusión exitosa y escribe el resultado en un archivo.

Aviso legal

Utilice este software únicamente en sistemas para los que tenga permiso explícito (su propio entorno de laboratorio, pentest contratado, prueba de seguridad aprobada por el proveedor). El acceso no autorizado es delito en la mayoría de los países. Este README es solo para investigación de seguridad y concienciación defensiva; los autores no se hacen responsables del mal uso.

Características

• Escaneo de múltiples objetivos con lista de objetivos (similar a targets.txt)
• Puerto TLS de WHM por defecto 2087; el esquema se normaliza a https
• Fases: pre-sesión (/login), fuga de /cpsess mediante inyección CRLF, activación de do_token_denied, verificación con /json-api/version
• Los objetivos con cambio de contraseña confirmado se añaden al archivo res.txt
• Anulación opcional de la cabecera Host (escenarios de proxy inverso / host virtual)
• Multihilo (ThreadPoolExecutor)

Requisitos

• Python 2.7 (#!/usr/bin/env python2.7 — el script usa sintaxis de Python 2 y urllib / urlparse)
• Dependencias: requirements.txt

pip install -r requirements.txt

Nota: En Python 2, el paquete futures es necesario para concurrent.futures (listado en el archivo). Para portar el script a Python 3, es necesario adaptar las diferencias en urllib, urlparse, print, unicode/str y similares; esto no se ha realizado en este repositorio.

Uso

python CVE-2026-41940.py <archivo_lista_objetivos> [--hostname HOST_CANONICO] [--threads N] [--timeout SEGUNDOS]

Salida:

• Log por fases en consola
• Solo los objetivos cuyo cambio de contraseña se considera exitoso se escriben en res.txt en formato de URL e información de sesión

Recomendaciones de defensa y endurecimiento (resumen)

• Mantenga actualizados WHM/cPanel y los componentes relacionados; supervise los boletines de seguridad.
• Use restricción de IP de origen o acceso VPN para el puerto 2087 (y puertos de administración innecesarios).
• Evalúe WAF y correlación de logs para combinaciones anómalas de Authorization / cookies y redirecciones inesperadas.

Estructura de archivos

├── CVE-2026-41940.py   # Script principal
├── requirements.txt    # Dependencias pip
└── README.md

Uso ético

Cambiar contraseñas en sistemas de producción tras una intrusión conlleva riesgo de pérdida de datos e interrupción del servicio. Pruebe en entornos de laboratorio aislados y no productivos, y con permiso por escrito; comparta los hallazgos mediante procesos de divulgación coordinada (coordinated disclosure).