📖 Schwachstellenübersicht: CVE-2026-63030

CVE-2026-63030 ist eine kritische, nicht authentifizierte Schwachstelle, die die WordPress-REST-API betrifft. Sie nutzt einen Route-Confusion-Bug im verschachtelten Batch-Verarbeitungsendpunkt (/wp-json/batch/v1 oder /?rest_route=/batch/v1).

Die Grundursache

Wenn WordPress einen Batch von REST-API-Anfragen verarbeitet, validiert es jede Unteranfrage vor der Ausführung gegen ihr spezifisches Schema. Aufgrund eines Fehlers in der Art und Weise, wie der interne Routing-Zeiger absichtlich fehlerhafte Pfade (z. B. ///) verarbeitet, wird das Validierungsschema vom tatsächlichen Ausführungs-Handler desynchronisiert.

Die Angriffskette

1. Route Confusion & SQLi: Ein Angreifer injiziert eine verschachtelte Batch-Payload. Die Desynchronisierung führt dazu, dass eine Anfrage, die auf den /wp/v2/users-Endpunkt abzielt (der author_exclude nicht akzeptiert), vom /wp/v2/posts-Handler ausgeführt wird. Der nicht bereinigte Parameter author_exclude wird direkt an die author__not_in-Klausel von WP_Query übergeben, was zu einer nicht authentifizierten SQL-Injection führt.
2. Pre-Auth-Administratorerstellung: Die SQLi wird verwendet, um die Datenbank auszulesen und oembed_cache-Beitrags-IDs zu identifizieren. Der Exploit verwendet dann eine Customizer-changeset-Payload, um den Navigationsmenü-Cache zu vergiften und WordPress dazu zu bringen, eine Benutzererstellungsanfrage im Kontext eines bestehenden Administrators auszuführen.
3. Remote Code Execution (RCE): Mit einem neu gefälschten Administrator-Konto authentifiziert sich das Tool, lädt ein randomisiertes, token-geschütztes PHP-Webshell-Plugin hoch, führt Betriebssystembefehle aus und entfernt anschließend sicher alle Spuren.

Betroffene Versionen

• WordPress 6.9.0 bis 6.9.4
• WordPress 7.0.0 bis 7.0.1 (Hinweis: Ältere Versionen können je nach spezifischen Plugin-Konfigurationen und REST-API-Backports anfällig sein).

🚀 Funktionen

• Keine Abhängigkeiten: 100 % Python-3-Standardbibliothek. Kein pip install erforderlich.
• Single File Modular: Alle Komponenten (Client, SQLi, Exploit, Shell, CLI) sind übersichtlich in einem einzigen portablen Skript (exploit.py) organisiert.
• Multi-Technique SQL Extraction: Fällt automatisch auf die schnellste verfügbare Methode zurück:
  1. UNION-basiert: In-Band-Extraktion durch Erstellen einer gefälschten WP_Post-Zeile (1 Anfrage pro Wert).
  2. Fehlerbasiert: Nutzt EXTRACTVALUE()-XPATH-Fehler, wenn WP_DEBUG_DISPLAY aktiviert ist.
  3. Blind (Boolean/Timing): Binärsuche-basierte Zeichenextraktion mit konfigurierbaren Sleep-Verzögerungen.
• Automatisierte Pre-Auth-Brücke: Keine vorhandenen Anmeldeinformationen erforderlich; das Tool erstellt spontan ein eigenes Administrator-Konto.
• Ephemere Webshell: Erzeugt einen eindeutigen Plugin-Slug und ein kryptographisch sicheres Token. Die Shell verweigert die Ausführung ohne das Token und zerstört sich nach der Verwendung selbst.
• Automatische Bereinigung: Löscht beim Beenden automatisch das gefälschte Administrator-Konto und entfernt das Webshell-Plugin-Verzeichnis.
• Interaktive REPL: Bietet ein Pseudo-Terminal, das den Zustand des entfernten Arbeitsverzeichnisses beibehält (cd-Unterstützung).

📦 Installation & Anforderungen

Es sind keine Drittanbieter-Pakete erforderlich. Stellen Sie sicher, dass Python 3.8 oder höher installiert ist.

💻 Detaillierte Verwendung & Optionen

Der Exploit ist in drei Hauptunterbefehle unterteilt: check, read und shell.

Globale Optionen

Diese Optionen gelten für alle Unterbefehle:

1. check - Schwachstellenerkennung

Prüft das Ziel sicher, um das Vorhandensein der Route-Confusion-Marker zu bestätigen, und testet das SQLi-Timing, ohne Daten zu extrahieren.

2. read - Datenbankextraktion

Extrahiert Daten direkt über die SQL-Injection aus der Datenbank.

3. shell - Remote Code Execution

Stellt die Webshell bereit und führt Befehle aus. Wenn keine Anmeldedaten bereitgestellt werden, löst es automatisch die Pre-Auth-Brücke zur Administratorerstellung aus.

🖥️ Ausführungsnachweise & Beispiele

Nachfolgend finden Sie reale Beispiele des Tools in Aktion.

Beispiel 1: Überprüfung auf Schwachstellen

Beispiel 2: Extrahieren des Datenbank-Fingerprints

Beispiel 3: Auslesen von Benutzeranmeldeinformationen

Beispiel 4: Erlangen einer interaktiven Shell (Pre-Auth)

Beachten Sie, wie das Tool automatisch ein Admin-Konto erstellt, die Shell bereitstellt und nach dem Beenden aufräumt.

🧠 Technischer Deep Dive

Die Desync-Grundlagen

Der Kern des Exploits beruht auf der Injektion von _DESYNC_PRIMER = {"method": "POST", "path": "///"}. Diese ungültige URL zwingt das interne Routing von WordPress, für die erste Unteranfrage einen WP_Error zu erzeugen. Dadurch wird der interne Zeiger verschoben, sodass die zweite Unteranfrage gegen ein Schema validiert, aber vom Handler der dritten Unteranfrage ausgeführt wird. Auf diese Weise wird der Parameter author_exclude in die WP_Query geschmuggelt.

UNION-Fake-Post-Primitive

Statt langsamer Blind-SQLi verwendet das Tool ein UNION SELECT, um eine vollständig ausgebildete, gefälschte wp_posts-Zeile zu injizieren. Durch das Setzen von orderby=none und per_page=500 wird verhindert, dass WP_Query die Abfrage aufteilt. Der injizierte post_title enthält das hex-kodierte Ergebnis des Ziel-SQL-Ausdrucks, umgeben von ||-Trennzeichen, das direkt in der JSON-Antwort der REST-API wiedergegeben wird.

Webshell-OpSec

Das bereitgestellte PHP-Plugin ist auf hohe Tarnung ausgelegt:

• Randomisiertes Verzeichnis und Dateiname (z. B. wp_a1b2c3d4.php).
• Erfordert ein 32 Zeichen langes Hex-Token (t) und einen Befehl (c) über GET-Parameter.
• Verwendet hash_equals(), um Timing-Angriffe auf das Token zu verhindern.
• Wechselt automatisch das Verzeichnis (chdir), um die Offenlegung von Pfaden zu verhindern.
• Die Ausgabe wird in EXPLOIT::...::END-Marker eingebettet, damit der Python-Client sie sauber parsen kann.

🛡️ Gegenmaßnahmen & Behebung

1. WordPress aktualisieren: Aktualisieren Sie WordPress sofort auf 7.0.2 oder höher, das den Patch für CVE-2026-63030 enthält.
2. Batch-Endpunkt deaktivieren: Wenn der Batch-Endpunkt nicht ausdrücklich benötigt wird, deaktivieren Sie ihn über ein Must-Use-Plugin (mu-plugins):
   root@kitploit:~

   add_filter( 'rest_request_before_callbacks', function( $response, $handler, $request ) {
       if ( $request->get_route() === '/batch/v1' ) {
           return new WP_Error( 'rest_disabled', 'Batch endpoint disabled', array( 'status' => 403 ) );
       }
       return $response;
   }, 10, 3 );
   

3. Web Application Firewall (WAF): Implementieren Sie Regeln, um Folgendes zu blockieren:
   • Verschachtelte /batch/v1-Anfragen, die author_exclude in der URI enthalten.
   • Anfragen, die UNION, SLEEP() oder EXTRACTVALUE in URL-Parametern enthalten.
   • Fehlerhafte Pfade wie /// in REST-API-Anfragen.
4. WP_DEBUG_DISPLAY deaktivieren: Stellen Sie sicher, dass WP_DEBUG_DISPLAY in wp-config.php auf false gesetzt ist, um Datenlecks durch fehlerbasierte SQLi zu verhindern.

📜 Credits & Danksagungen

• Schwachstellenforschung & Exploit-Entwicklung: Ch4120N
• Konzeptinspiration: WordPress-REST-API-Route-Confusion, oEmbed-Cache-Vergiftung und Customizer-changeset-Primitive.

"Mit großer Macht kommt große Verantwortung. Nutzen Sie dieses Wissen, um zu verteidigen, nicht um zu zerstören."
— Ch4120N