CVE-2026-57517 CWP Exploit

Ce dépôt contient un outil de preuve de concept basé sur Go pour tester un scénario de vulnérabilité connu de Control Web Panel (CWP) lié à CVE-2026-57517. L'implémentation cible une injection SQL aveugle et inclut un déploiement optionnel de webshell ainsi qu'un flux d'exécution de commandes à des fins d'évaluation de sécurité autorisée.

Aperçu

Le projet est conçu pour aider les chercheurs en sécurité et les testeurs autorisés à :

• détecter une exposition potentielle à CWP
• tester un hôte cible vulnérable dans un environnement contrôlé
• déployer un webshell temporaire lorsque la condition est présente
• exécuter des commandes et collecter les résultats
• générer des rapports textuels en direct et des rapports JSON

Structure du projet

• exploit_cwp.go - implémentation principale en Go
• go.mod - définition du module et version de Go
• README.md - documentation du projet

Prérequis

• Go 1.22 ou plus récent
• Accès réseau à l'hôte cible
• Une autorisation valide pour tester le système cible

Construction du projet

Depuis la racine du dépôt, exécutez :

git clone https://github.com/gagaltotal/CVE-2026-57517-CWP
go mod init CVE-2026-57517-CWP
go mod tidy
go build -o exploit_cwp .

Cela produira un binaire exécutable nommé exploit_cwp.

Utilisation

Cible unique

./exploit_cwp -t target.example.com

Plusieurs cibles depuis un fichier

./exploit_cwp -f targets.txt -o live.txt --json report.json

Mode shell interactif

./exploit_cwp -t target.example.com --rce -u cwpsvc

Options courantes

• -t : hôte cible unique ou adresse IP
• -f : fichier contenant les cibles, une par ligne
• -u : nom d'utilisateur connu à utiliser au lieu de l'énumération automatique
• -threads : nombre de travailleurs concurrents
• -timeout : délai d'attente HTTP en secondes
• -no-cleanup : laisser le shell déployé sur la cible
• -rce : activer le mode shell interactif
• -shell-url : utiliser directement une URL de shell existante
• -v : activer la sortie verbeuse
• -o : chemin pour le rapport texte en direct
• --json : chemin pour le rapport JSON

Fichiers de sortie

L'outil peut générer :

• un rapport texte en direct pour une consultation rapide
• un rapport JSON structuré pour l'automatisation ou une analyse ultérieure

Avis de sécurité

Cet outil est destiné uniquement aux tests de sécurité autorisés et à la recherche. Utilisez-le uniquement sur des systèmes que vous avez explicitement l'autorisation d'évaluer. Les mainteneurs n'approuvent ni ne soutiennent tout accès non autorisé ou activité illégale.

Clause de non-responsabilité

Le code de ce dépôt est fourni à des fins éducatives et de sécurité défensive. Toute utilisation abusive de ce logiciel peut enfreindre les lois et réglementations applicables.