🚀 CVE-2026-41940 – Herramienta de Explotación de Bypass de Autenticación en cPanel & WHM / WP Squared

Una utilidad integral en Python para detectar, escanear en masa y explotar la vulnerabilidad crítica de bypass de autenticación (CVE-2026-41940) en cPanel & WHM y WP Squared.
La herramienta combina escaneo inteligente de múltiples puertos, multi-hilos, generación de dorks de Google, ejecución remota de comandos interactiva (RCE) y exportación de informes estructurados.

⚠️ ADVERTENCIA – Esta herramienta está destinada únicamente a pruebas de seguridad autorizadas y fines educativos.
El uso no autorizado contra sistemas que no posees o para los que no tienes permiso explícito de prueba es ilegal.
El autor no asume ninguna responsabilidad por el mal uso o los daños causados.

📌 Acerca de CVE-2026-41940

La vulnerabilidad permite a un atacante no autenticado enviar una cabecera Authorization especialmente manipulada para omitir por completo el flujo de inicio de sesión, obteniendo control a nivel de root del servidor.

✨ Características

• Descripción de la CVE – resumen técnico integrado.
• Generador de dorks de Google – consultas de búsqueda listas para usar para encontrar instancias expuestas de cPanel/WHM.
• Escaneo inteligente de múltiples puertos – acepta una IP/hostname simple y sondea automáticamente los seis puertos comunes de cPanel/WHM/Webmail.
• Rápido – escaneo multi-hilo (configurable).
• Entrada de objetivo único o archivo masivo – escanea una URL o carga una lista desde un archivo de texto.
• Ejecución remota de código completa (RCE) – shell interactivo en puertos WHM vulnerables, con protección de respaldo mediante web-shell.
• Guardia de seguridad – la explotación solo está permitida en puertos WHM (2086/2087); la detección funciona en todos los puertos.
• Exportación de informes – guarda los resultados como JSON o HTML, con marcas de tiempo automáticas.

⚙️ Instalación

# Clonar el repositorio
git clone https://github.com/NULL200OK/cve-2026-41940-tool.git
cd cve-2026-41940-tool

🔧 Uso

Ejecuta el script:

python cve_2026_41940_tool.py

Se te mostrará un menú interactivo:

text
1. Dorks de Google
2. Escanear objetivo(s)
3. Explotar (RCE)

🎯 Formato de objetivo y manejo de puertos

Los servicios de cPanel/WHM se ejecutan en puertos no estándar específicos:

Servicio |HTTP |HTTPS

WHM |2086 |2087

cPanel |2082 |2083

Webmail |2095 |2096

Cómo proporcionar un objetivo:

192.168.1.5 – escanea automáticamente los seis puertos comunes (2082-2087, 2095-2096).

192.168.1.5:2087 – escanea solo WHM HTTPS.

https://server.com:2087 – usa exactamente esa URL (el esquema debe incluirse).

Importante:

La detección funciona en cualquiera de los puertos anteriores.

La explotación (RCE) está restringida únicamente a los puertos WHM (2086/2087), porque se requiere la API de WHM.

Para escaneo por lotes, crea un archivo de texto plano con un objetivo por línea (mismo formato que arriba). La herramienta expandirá cada línea en consecuencia.

1️⃣ Dorks de Google

Imprime una lista de consultas de búsqueda para descubrir páginas de inicio de sesión de cPanel/WHM.

Puedes guardar los dorks como archivo JSON o HTML.

2️⃣ Escanear Objetivo(s)

Elige un objetivo único o un archivo con muchos objetivos.

El escáner comprueba la vulnerabilidad enviando la cabecera de bypass a los endpoints de API apropiados.

Los resultados se muestran en tiempo real, con indicadores claros [+] / [-].

Después del escaneo, puedes guardar los resultados en un informe estructurado.

3️⃣ Explotar (RCE)

Solo funciona en puertos WHM (2086/2087) – la herramienta se negará en caso contrario.

Primero verifica que el objetivo es realmente vulnerable.

Si es vulnerable, se abre un shell interactivo – escribe cualquier comando (por ejemplo, id, uname -a, cat /etc/passwd) y obtén la salida.

Se utilizan dos métodos, con respaldo automático:

Ejecución directa de comandos a través de la API de WHM.

Subida de un web-shell PHP temporal (eliminado inmediatamente después del comando).

Escribe exit para salir del shell.

🧠 Lógica de Detección

La herramienta envía una cabecera Authorization manipulada (base64 de cpanel:forbidden) a endpoints de API como /json-api/listaccts o /json-api/version. En un servidor vulnerable, esto omite la autenticación y devuelve datos sensibles o una respuesta 200 sin redirigir a la página de inicio de sesión. En un sistema parcheado, se espera un 401 (No autorizado), 403 (Prohibido) o una redirección a la página de inicio de sesión.

🤝 Contribuciones

Se aceptan pull requests, issues y sugerencias de funciones. Para cambios importantes, abre primero un issue para discutir tus ideas.

📄 Licencia

Este proyecto está licenciado bajo la Licencia MIT – consulta el archivo LICENSE para más detalles.

❤️ Aviso Legal

Esta herramienta se proporciona únicamente con fines educativos y de investigación de seguridad autorizada. El usuario asume toda la responsabilidad por el cumplimiento de las leyes aplicables. Úsala con sabiduría