CVE-2026-57517 CWP Exploit

Este repositório contém uma ferramenta de prova de conceito baseada em Go para testar um cenário de vulnerabilidade conhecido do Control Web Panel (CWP) relacionado ao CVE-2026-57517. A implementação visa um caminho de injeção SQL cega e inclui implantação opcional de webshell e fluxo de execução de comandos para fins autorizados de avaliação de segurança.

Visão Geral

O projeto foi desenvolvido para ajudar pesquisadores de segurança e testadores autorizados a:

• detectar possível exposição do CWP
• testar um host alvo vulnerável em um ambiente controlado
• implantar um webshell temporário quando a condição estiver presente
• executar comandos e coletar a saída
• gerar relatórios de texto em tempo real e relatórios JSON

Estrutura do Projeto

• exploit_cwp.go - implementação principal em Go
• go.mod - definição do módulo e versão do Go
• README.md - documentação do projeto

Requisitos

• Go 1.22 ou mais recente
• Acesso de rede ao host alvo
• Autorização válida para testar o sistema alvo

Compilando o Projeto

A partir da raiz do repositório, execute:

git clone https://github.com/gagaltotal/CVE-2026-57517-CWP
go mod init CVE-2026-57517-CWP
go mod tidy
go build -o exploit_cwp .

Isso produzirá um binário executável chamado exploit_cwp.

Uso

Alvo Único

./exploit_cwp -t target.example.com

Múltiplos Alvos a partir de um Arquivo

./exploit_cwp -f targets.txt -o live.txt --json report.json

Modo de Shell Interativo

./exploit_cwp -t target.example.com --rce -u cwpsvc

Opções Comuns

• -t : host alvo único ou endereço IP
• -f : arquivo contendo alvos, um por linha
• -u : nome de usuário conhecido para usar em vez de enumeração automática
• -threads : número de workers concorrentes
• -timeout : tempo limite HTTP em segundos
• -no-cleanup : deixar o shell implantado no alvo
• -rce : ativar o modo de shell interativo
• -shell-url : usar uma URL de shell existente diretamente
• -v : ativar a saída verbosa
• -o : caminho para o relatório de texto em tempo real
• --json : caminho para o relatório JSON

Arquivos de Saída

A ferramenta pode gerar:

• um relatório de texto em tempo real para revisão rápida
• um relatório JSON estruturado para automação ou análise posterior

Aviso de Segurança

Esta ferramenta destina-se exclusivamente a testes de segurança e pesquisas autorizados. Utilize-a apenas em sistemas que você tenha permissão explícita para avaliar. Os mantenedores não endossam nem apoiam acesso não autorizado ou qualquer atividade ilegal.

Aviso Legal

O código neste repositório é fornecido para fins educacionais e de segurança defensiva. O uso indevido deste software pode violar leis e regulamentos aplicáveis.