CVE-2026-41940 - cPanel & WHM 认证绕过利用工具

漏洞：cpsrvd 的 HTTP Basic 认证处理器中存在通过 CRLF 注入进行会话文件操作 CVE: CVE-2026-41940 CVSS: 9.8（严重） CWE: CWE-93（CRLF 注入）/ CWE-306（缺少认证） 受影响： cPanel & WHM 版本低于： 11.110.0.97, 11.118.0.63, 11.126.0.54, 11.132.0.29, 11.134.0.20, 11.136.0.5 端口： 2082/2083（cPanel），2086/2087（WHM），2095/2096（Webmail）

技术根本原因： cpsrvd 的 HTTP Basic 认证处理器将提供的密码原样存储到预认证会话文件中，通过 Cpanel::Session::saveSession() —— 绕过了调用 filter_sessiondata() 来去除 CR/LF 的 Cpanel::Session::create() / Cpanel::Session::Modify::save() 包装器。因为 saveSession() 本身不调用 filter_sessiondata()，密码中的任何 CR/LF 都会作为字面换行符写入原始会话文件。

当请求因 URL 绑定安全令牌检查失败而被拒绝时，cpsrvd 的 do_token_denied() 处理器会调用 Cpanel::Session::Modify::new($session, nocache => 1)。nocache => 1 标志强制重新解析原始会话文件（逐行 key=value），而不是加载 JSON 缓存。来自攻击者控制的 pass 字段的 CRLF 分割行现在被视为独立的 key=value 记录。Modify::save() 随后将解析的所有键（包括攻击者的）提升为顶级会话条目，重新写入 JSON 缓存。

重新生成后，会话包含 user=root、hasroot=1、tfa_verified=1、攻击者选择的 cp_security_token 以及一个全新的 successful_internal_auth_with_timestamp。cpsrvd 将会话视为完全认证。

攻击链（4 个 HTTP 请求）：

1. 预认证会话创建：POST /login/?login_only=1（登录失败） -> 创建会话文件，获取 whostmgrsession cookie
2. CRLF 注入：GET / 带有包含 CRLF 负载的 Authorization: Basic 头，cookie 不含混淆后缀 -> 含有嵌入 \r\n 的密码写入原始会话文件
3. 重新生成触发：GET /cpsess/scripts2/listaccts -> do_token_denied() 触发，重新解析原始文件，提升注入的键
4. 认证访问：GET /cpsess/json-api/version -> 会话现在拥有 root 权限，绕过密码和双因素认证

注意：由于 Perl 的随机哈希迭代顺序，存在竞争条件。原始的（未设置）cp_security_token 可能覆盖注入的令牌。多次重试可使攻击链可靠运行。

免责声明：此工具仅用于授权的安全测试和研究目的。在未经您拥有或明确许可的系统上未经授权使用是违法的。