ctdal/cve-2026-41940-PoC
# CVE-2026-41940 PoC 学习卡
一、一句话定位
针对 cPanel/WHM CVE-2026-41940（CVSS 10.0）的认证绕过 PoC，通过 Authorization 头注入 CRLF 序列污染服务端会话文件，无需凭据即可获取 root 级 WHM 访问权限。
二、核心技术/架构亮点
1. 利用 CRLF 注入修改服务端 session 文件，实现未认证会话操纵。
2. 影响范围广：覆盖 110.x 至 136.x 多个 cPanel 版本，无需用户交互。
3. CLI 设计完整：支持单目标/批量扫描、多线程、速率限制、JSON 输出。
4. 内置丰富后渗透模块：执行 OS 命令、读取文件、改 root 密码、创建 WHM 后门管理员、交互 shell。
5. 可与 subfinder/httpx/Shodan 管道化集成，自动发现暴露的 WHM 服务。
三、适用场景与目标用户
适用于授权渗透测试、Bug Bounty、cPanel 安全攻防研究。目标用户为红队、安全运维、漏洞研究员；必须遵守法律。
四、可动手动作
- 隔离环境复现：`git clone https://github.com/ctdal/CVE-2026-41940-PoC`，运行 `python cve.py -u https://target:2087`（仅限授权靶标）。
- 接入资产发现：`subfinder -d victim.com | httpx -ports 2085,2086 | python cve.py scan -t 40 -o results.json`。
- 借鉴思路：将“CRLF 注入 + 会话文件覆盖”检测逻辑集成到自有认证绕过验证工具中。
五、学习优先级：P1（排期）
漏洞利用手法典型、危害极大，值得系统研究；但直接利用需授权环境，适合排期在受控场景验证，并据此完善相关检测规则。⌂