PoC: WP2Shell — CVE-2026-63030 & CVE-2026-60137

📌 Übersicht (Overview)

WP2Shell ist eine Exploit-Kette für schwerwiegende Schwachstellen im WordPress Core, die es einem nicht authentifizierten Angreifer aus der Ferne (Unauthenticated Remote Attacker) ermöglicht, die vollständige Kontrolle über den Server zu übernehmen (Full Server Takeover / RCE).

Die Exploit-Kette kombiniert zwei Sicherheitslücken:

1. CVE-2026-63030 (REST API Batch Route Confusion): Ein Konflikt bei der Endpoint-Auflösung im WordPress-REST-API-Batch-Handler ermöglicht es, dass ein Request für eine Route authentifiziert, aber in einer anderen Route ausgeführt wird, wodurch der Zugriffskontrollmechanismus umgangen wird (Authentication / Route Validation Bypass).
2. CVE-2026-60137 (SQL Injection in WP_Query): Fehlende Eingabebereinigung (Sanitization) des Parameters author__not_in in WP_Query, was zu SQL Injection führt.

Durch die Verkettung dieser beiden Schwachstellen kann ein Angreifer eine speziell präparierte HTTP-Anfrage an /wp-json/batch/v1 senden, die Authentifizierung umgehen und die SQLi auslösen, um Privilegien auszuweiten, eine Shell zu erstellen und beliebigen Code aus der Ferne auszuführen (RCE).

📊 Schwachstellendetails (Vulnerability Details)

🎬 Video-Demo Proof-of-Concept (PoC Video)

Ein Video, das den gesamten Prozess der Reproduktion und der tatsächlichen Ausnutzung (Exploitation) zeigt, ist auf Google Drive gespeichert:

🔗 Link zum Ansehen / Herunterladen des PoC-Videos: Google Drive - Video Demo WP2Shell PoC

📖 Detaillierte technische Analyse (Detailed Writeup)

Der gesamte technische Analyseablauf, die schrittweise Reproduktion des PoC sowie die Erklärung des Quellcodes sind in Notion gespeichert:

🔗 Link zum Notion-Artikel: POC-Ablauf CVE WP2Shell (Notion Writeup)

⚙️ Ablauf der Exploit-Kette (Exploitation Flow)

flowchart TD
    A["[Attacker] Unauthenticated Remote Request"] --> B["REST API Batch Endpoint (/wp-json/batch/v1)"]
    B --> C["CVE-2026-63030: Batch Route Confusion\n(Bypass Route Validation & Access Control)"]
    C --> D["CVE-2026-60137: SQL Injection\n(Unsanitized 'author__not_in' in WP_Query)"]
    D --> E["Database Manipulation / Privilege Escalation\n(Admin session / User creation)"]
    E --> F["Web Shell Upload / Execution"]
    F --> G["💥 Full Server Takeover (RCE)"]

🛡️ Abhilfemaßnahmen & Prävention (Mitigation)

1. Sofort aktualisieren: WordPress Core auf eine sichere Version aktualisieren:
   • Zweig 6.8.x: auf WordPress 6.8.6 aktualisieren
   • Zweig 6.9.x: auf WordPress 6.9.5 aktualisieren
   • Zweig 7.0.x: auf WordPress 7.0.2 aktualisieren
2. WAF / Webserver konfigurieren:
   • Anfragen an den Endpoint /wp-json/batch/v1 von nicht authentifizierten Benutzern vorübergehend blockieren oder streng kontrollieren, falls noch nicht sofort aktualisiert werden kann.
3. Server prüfen (Forensik):
   • Webserver-Logs auf ungewöhnliche Anfragen an /wp-json/batch/v1 prüfen.
   • Verzeichnisse wp-content/uploads/ und wp-content/plugins/ auf Webshells oder fremde Dateien durchsuchen.

⚠️ Haftungsausschluss (Disclaimer)

[!WARNING] Diese Dokumentation und der PoC-Quellcode dienen ausschließlich der Sicherheitsforschung, Bildung und Systemverteidigung. Der Autor übernimmt keinerlei Verantwortung für die unbefugte Nutzung der Informationen oder Werkzeuge in diesem Repository, um Systeme anzugreifen, für die Sie keine rechtliche Befugnis besitzen.