zerodayevil/cve-2026-41940-pocCódigo de prova de conceito que demonstra o CVE-2026-41940, fornecendo um caso de teste reproduzível para verificação de vulnerabilidades e pesquisa de segurança.
🛡️ Módulo de Ferramenta de Segurança de IA
CVE-2026-41940: RCE Root Não Autenticado no cPanel & WHM (Injeção de Sessão via CRLF)
Módulo Oficial de Auditoria de Segurança e Exploração para o Ecossistema de Ferramentas de Segurança de IA
🌐 Demonstração Web • 📚 Site do Projeto • 💬 Chat da Comunidade
Navegação do Site: Início • Atualizações • Downloads • Módulos
Este módulo fornece ferramentas de diagnóstico abrangentes e rotinas de avaliação técnica para o CVE-2026-41940, uma vulnerabilidade crítica de bypass de autenticação não autenticado no cPanel & WHM (CVSS 10.0). Ao explorar o tratamento inadequado de sequências CRLF dentro do analisador do cabeçalho HTTP Authorization durante a inicialização prematura da sessão, um atacante pode manipular arquivos de sessão do lado do servidor e obter autorização WHM completa em nível de root sem credenciais válidas.
"Controle a sessão, domine o host."
Como as interfaces WHM operam diretamente sob privilégios administrativos, vetores de bypass de autenticação em portas de gerenciamento (2083/2087) representam riscos imediatos de comprometimento total em instalações do Web Host Manager.
| Especificação | Valor Atribuído | Notas |
|---|---|---|
| Identificador CVE | CVE-2026-41940 |
Bypass de Injeção de Cabeçalho de Sessão do cPanel & WHM |
| Classificação de Severidade | Crítica (CVSS v3.1: 10.0) | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
| Tipo de Vulnerabilidade | CWE-113 / CWE-287 |
Injeção CRLF e Bypass de Autenticação |
| Componente Afetado | Daemon de Sessão do cPanel & WHM (cpsrvd) |
Mecanismo de análise do cabeçalho HTTP Authorization |
| Vetor de Ataque | Rede (TCP 2083 / 2087) | Requisição HTTP de autorização maliciosa não autenticada |
| Privilégios Necessários | Nenhum | Nenhuma autenticação ou interação do usuário necessária |
graph TD
A[Unauthenticated Attacker] -->|Crafted Authorization Header with CRLF| B[cPanel / WHM Service]
B -->|Premature Session File Generation| C[Inject Parameters into Session Data]
C -->|Bypass Credential Validation| D[Grant Elevated WHM Administrative Token]
D -->|Post-Exploitation Actions| E[Full System Root Compromise]
| Ramificação | Intervalo de Versões Vulneráveis | Versão Corrigida |
|---|---|---|
| 110.x | ≤ 11.110.0.96 |
11.110.0.97 |
| 118.x | ≤ 11.118.0.62 |
11.118.0.63 |
| 126.x | ≤ 11.126.0.53 |
11.126.0.54 |
| 132.x | ≤ 11.132.0.28 |
11.132.0.29 |
| 134.x | ≤ 11.134.0.19 |
11.134.0.20 |
| 136.x | ≤ 11.136.0.4 |
11.136.0.5 |
Consulta do Splunk Enterprise:
index=cpanel sourcetype=cpanel_access_log
| rex field=_raw "(?i)authorization:\s*(?[^\r\n]+)"
| where match(auth_header, "[\r\n]") OR match(auth_header, "%0D%0A")
| stats count by clientip, http_user_agent, uri_path, auth_header
| sort - countConsulta do Microsoft Sentinel:
CommonSecurityLog
| where DeviceVendor =~ "cPanel" or DeviceProduct has "WHM"
| where AdditionalExtensions has "Authorization"
| where AdditionalExtensions matches regex "(\r\n|\n|\r|%0D%0A)"
| summarize EventCount = count(), IPs = make_set(SourceIP, 10) by bin(TimeGenerated, 5m), DeviceName
| where EventCount > 0