zerodayevil/cve-2026-41940-pocCodice proof-of-concept che dimostra CVE-2026-41940, fornendo un caso di test riproducibile per la verifica della vulnerabilità e la ricerca sulla sicurezza.
🛡️ Modulo Strumento di Sicurezza AI
CVE-2026-41940: cPanel & WHM RCE Root Non Autenticato (Iniezione di Sessione CRLF)
Modulo Ufficiale di Audit di Sicurezza e Sfruttamento per l'Ecosistema dello Strumento di Sicurezza AI
🌐 Demo Web • 📚 Sito Web del Progetto • 💬 Chat della Community
Navigazione del Sito Web: Home • Aggiornamenti • Download • Moduli
Questo modulo fornisce strumenti diagnostici completi e routine di valutazione tecnica per CVE-2026-41940, una vulnerabilità critica di bypass dell'autenticazione non autenticato in cPanel & WHM (CVSS 10.0). Sfruttando una gestione impropria delle sequenze CRLF all'interno del parser dell'header HTTP Authorization durante l'inizializzazione prematura della sessione, un attaccante può manipolare i file di sessione lato server e ottenere l'autorizzazione WHM completa a livello root senza credenziali valide.
"Controlla la sessione, possiedi l'host."
Poiché le interfacce WHM operano direttamente con privilegi amministrativi, i vettori di bypass dell'autenticazione sulle porte di gestione (2083/2087) rappresentano rischi immediati di compromissione totale su tutte le installazioni di Web Host Manager.
| Specifica | Valore assegnato | Note |
|---|---|---|
| Identificatore CVE | CVE-2026-41940 |
Bypass tramite iniezione dell'header di sessione in cPanel & WHM |
| Valutazione di gravità | Critica (CVSS v3.1: 10.0) | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
| Tipo di vulnerabilità | CWE-113 / CWE-287 |
Iniezione CRLF e bypass dell'autenticazione |
| Componente interessato | Daemon di sessione di cPanel & WHM (cpsrvd) |
Motore di analisi dell'header HTTP Authorization |
| Vettore di attacco | Rete (TCP 2083 / 2087) | Richiesta HTTP di autorizzazione appositamente costruita e non autenticata |
| Privilegi richiesti | Nessuno | Nessuna autenticazione utente o interazione richiesta |
graph TD
A[Unauthenticated Attacker] -->|Crafted Authorization Header with CRLF| B[cPanel / WHM Service]
B -->|Premature Session File Generation| C[Inject Parameters into Session Data]
C -->|Bypass Credential Validation| D[Grant Elevated WHM Administrative Token]
D -->|Post-Exploitation Actions| E[Full System Root Compromise]
| Ramo | Intervallo di versioni vulnerabili | Versione corretta |
|---|---|---|
| 110.x | ≤ 11.110.0.96 |
11.110.0.97 |
| 118.x | ≤ 11.118.0.62 |
11.118.0.63 |
| 126.x | ≤ 11.126.0.53 |
11.126.0.54 |
| 132.x | ≤ 11.132.0.28 |
11.132.0.29 |
| 134.x | ≤ 11.134.0.19 |
11.134.0.20 |
| 136.x | ≤ 11.136.0.4 |
11.136.0.5 |
Query per Splunk Enterprise:
index=cpanel sourcetype=cpanel_access_log
| rex field=_raw "(?i)authorization:\s*(?[^\r\n]+)"
| where match(auth_header, "[\r\n]") OR match(auth_header, "%0D%0A")
| stats count by clientip, http_user_agent, uri_path, auth_header
| sort - countQuery per Microsoft Sentinel:
CommonSecurityLog
| where DeviceVendor =~ "cPanel" or DeviceProduct has "WHM"
| where AdditionalExtensions has "Authorization"
| where AdditionalExtensions matches regex "(\r\n|\n|\r|%0D%0A)"
| summarize EventCount = count(), IPs = make_set(SourceIP, 10) by bin(TimeGenerated, 5m), DeviceName
| where EventCount > 0