CVE-2026-63030 — WordPress wp2shell Exploit

Nicht authentifiziertes Erkennungs- und Exploitation-Tool für die WordPress-Core-Schwachstelle batch-confusion (CVE-2026-63030 / CVE-2026-60137), die zu SQL-Injection und Remote Code Execution (RCE) über den REST-API-Batch-Endpunkt führt.

⚠️ Nur für autorisierte Sicherheitstests und Bildungszwecke. Siehe den Haftungsausschluss unten.

Überblick

Betroffene WordPress-Versionen stellen den REST-API-Batch-Endpunkt bereit unter:

POST /wp-json/batch/v1, oder
POST /?rest_route=/batch/v1 (Fallback, wenn Pretty-Permalinks / wp-json deaktiviert ist)

Durch eine Batch-Confusion-Schwachstelle werden verschachtelte Unteranfragen innerhalb eines Batch-Bodys ohne ordnungsgemäße Autorisierung verarbeitet, wodurch ein nicht authentifizierter Angreifer SQL injizieren (z. B. über den Parameter author_exclude) und letztlich RCE erreichen kann.

Dieses Repository bietet:

Datei	Zweck
`cve-2026-63030.py`	Python-CLI — Versionserkennung, Auflösung des Batch-Endpunkts, SLEEP-basierte Blind-SQLi-Bestätigung und Datenextraktion mit `--query`. Unterstützt Massen-Scans, Threads und Proxys.
`cve-2026-63030.yaml`	Nuclei-Template — passive Versionsprüfung + aktive zeitbasierte SQLi-Erkennung über beide Endpunktvarianten.

Betroffene Versionen

Branch	Betroffener Bereich
6.8.x	6.8.0 – 6.8.5
6.9.x	6.9.0 – 6.9.4
7.0.x	7.0.0 – 7.0.1

Behoben in 6.8.6, 6.9.5 und 7.0.2.

Voraussetzungen

Python 3.8+
requests
beautifulsoup4

pip install requests beautifulsoup4

Verwendung

python3 cve-2026-63030.py [options]

Optionen

Flag	Beschreibung
`-u, --url URL`	Einzelne Ziel-URL.
`-l, --list FILE`	Datei mit Ziel-URLs (eine pro Zeile; `#`-Kommentare erlaubt) für Massen-Scans.
`-p, --proxy URL`	Anfragen über einen Proxy leiten (z. B. `http://127.0.0.1:8080`).
`-t, --threads N`	Parallelität für den Massenmodus (Standard `10`).
`-q, --query SQL`	SQL zur Exfiltration über zeitbasierte Blind-Injection, z. B. `"select @@version"`.
`--exploit`	SLEEP-Payload auslösen, um die Ausnutzung zu bestätigen.
`--delay SEC`	SLEEP-Fenster für Blind-SQLi (Standard `2`).
`--timeout SEC`	Timeout pro Anfrage (Standard `10`).
`--silent`	Banner unterdrücken.

-u/--url und -l/--list schließen sich gegenseitig aus.

Beispiele

# 1. Detect whether a single target is vulnerable (version + batch endpoint)
python3 cve-2026-63030.py -u http://target.tld/

# 2. Route through Burp/ZAP
python3 cve-2026-63030.py -u http://target.tld/ -p http://127.0.0.1:8080

# 3. Confirm exploitation via the SLEEP payload
python3 cve-2026-63030.py -u http://target.tld/ --exploit --delay 5

# 4. Exfiltrate data through time-based blind SQLi
python3 cve-2026-63030.py -u http://target.tld/ -q "select @@version"
python3 cve-2026-63030.py -u http://target.tld/ -q "select user()"

# 5. Bulk scan a list of hosts and extract DB version from each vulnerable one
python3 cve-2026-63030.py -l hosts.txt -t 20 -q "select @@version"

Funktionsweise

Versionserkennung — parst das Tag <meta name="generator"> und prüft es gegen die betroffenen Bereiche.
Endpunktauflösung — versucht zuerst /wp-json/batch/v1 und fällt nur dann auf /?rest_route=/batch/v1 zurück, wenn der erste nicht antwortet.
Bestätigung — --exploit sendet eine SLEEP(n)-Payload und verifiziert, dass die Antwort tatsächlich verzögert wird (duration >= delay).
Extraktion — --query exfiltriert ein Ergebnis Zeichen für Zeichen mittels Binärsuche (IF(ASCII(SUBSTRING(...)), SLEEP(n), 0)).

Nuclei-Template

# Validate
nuclei -tl -t cve-2026-63030.yaml

# Scan
nuclei -t cve-2026-63030.yaml -l hosts.txt
nuclei -t cve-2026-63030.yaml -u http://target.tld/

Das Template prüft beide Endpunkt-Varianten und bestätigt zeitbasierte SQLi über duration >= 5, abhängig von einer betroffenen WordPress-Version.

Haftungsausschluss

Dieses Projekt wird ausschließlich zu Bildungszwecken und für autorisierte Sicherheitstests bereitgestellt. Sie dürfen es nur gegen Systeme einsetzen, die Ihnen gehören oder für die Sie eine ausdrückliche, schriftliche Genehmigung zum Testen haben (z. B. ein Penetrationstest-Scope, ein Bug-Bounty-Programm oder ein CTF).

Unbefugtes Scannen oder Ausnutzen von Systemen, die Ihnen nicht gehören oder die Sie nicht autorisiert testen dürfen, ist illegal und kann nach Computer-Missbrauchsgesetzen eine Straftat darstellen (z. B. der CFAA in den USA, der Computer Misuse Act im Vereinigten Königreich und entsprechende Gesetze anderswo).

Die Autoren und Mitwirkenden übernehmen keine Haftung und keine Verantwortung für Schäden, Datenverlust oder rechtliche Konsequenzen, die aus der Nutzung oder dem Missbrauch dieser Software entstehen. Durch die Nutzung dieses Tools erklären Sie, dass Ihre Nutzung rechtmäßig ist und dass Sie alle damit verbundenen Risiken tragen.

Im Zweifelsfall: nicht ausführen.

Referenzen

Autor

0xh7ml — bereitgestellt wie besehen, für defensive Forschung und Bildung.

CVE-2026-63030

Beliebteste