wpsqli - Extractor SQLi de WordPress (CVE-2026-60137)

Una herramienta rápida de extracción de bases de datos basada en menús que explota la vulnerabilidad de inyección SQL author__not_in en el núcleo de WordPress. Esta herramienta se centra exclusivamente en la enumeración y el volcado de bases de datos, utilizando la confusión de rutas del endpoint REST por lotes (CVE-2026-63030) para alcanzar el sumidero SQLi sin autenticación.

Tabla de Contenidos

• Descripción General
• Cadena de Vulnerabilidades
• Versiones Afectadas
• Características
• Instalación
• Uso
• Opciones del Menú
• Modos de Extracción
• Rendimiento
• Aviso Legal

Descripción General

wpsqli es una herramienta escrita en Python puro diseñada para explotar una vulnerabilidad encadenada en el núcleo de WordPress que permite una inyección SQL no autenticada en la base de datos. Evita la validación de la API REST de WordPress mediante un error de confusión en las rutas del endpoint por lotes, enviando una cadena de carga útil cruda directamente al sumidero SQL de WP_Query.

Esta herramienta está diseñada para ser rápida y flexible: intenta automáticamente la extracción in-band basada en UNION (instantánea), recurre a la extracción boolean-blind paralela con 8 hilos y, finalmente, a la extracción secuencial basada en tiempo si es necesario.

Cadena de Vulnerabilidades

Esta herramienta encadena dos vulnerabilidades independientes para lograr la extracción no autenticada de la base de datos:

Bug A — Inyección SQL en author__not_in (CVE-2026-60137)

Ubicación: wp-includes/class-wp-query.php, WP_Query::get_posts()

El parámetro author__not_in solo aplica la sanitización absint() si la entrada es un array. Si se pasa una cadena, se omite la comprobación is_array(), la cadena pasa a través de implode() sin cambios y se concatena cruda en la cláusula SQL $where.

// Línea 2404: la comprobación solo se activa para ARRAYS
if ( is_array( $query_vars['author__not_in'] ) ) {
    $query_vars['author__not_in'] = array_unique( array_map( 'absint', $query_vars['author__not_in'] ) );
    sort( $query_vars['author__not_in'] );
}
// Línea 2408: la cadena pasa directamente
$author__not_in = implode( ',', (array) $query_vars['author__not_in'] );
// Línea 2409: interpolación cruda
$where .= " AND {$wpdb->posts}.post_author NOT IN ($author__not_in) ";

Bug B — Confusión de Rutas en el Endpoint REST por Lotes (CVE-2026-63030)

El endpoint de entradas de la API REST asigna author_exclude a author__not_in, pero lo declara como type => 'array' de enteros, por lo que el núcleo coacciona/rechaza una cadena. El Bug B introduce de contrabando la cadena más allá de la validación abusando de un error de desincronización en el endpoint por lotes de REST (/wp-json/batch/v1). Al inyectar un iniciador de ruta malformado que wp_parse_url() rechaza, se introduce un WP_Error en la lista de solicitudes del lote, desincronizando $matches de $validation. Esto permite que una sub-solicitud posterior se envíe bajo el manejador incorrecto sin validación de parámetros.

Versiones Afectadas

Advertencia: El sumidero SQLi solo se alcanza cuando NO se utiliza una caché de objetos persistente (Redis/Memcached).

Características

• Sin Dependencias: Biblioteca estándar pura de Python. No se requiere pip install.
• Extracción en Tres Niveles:
  • Basada en UNION: Forja una fila falsa de wp_posts para extraer cadenas completas en una única solicitud HTTP (instantánea).
  • Boolean-blind (Paralela): Si UNION está bloqueada por la caché de objetos, utiliza 8 hilos paralelos con búsqueda binaria para extraer ~7 solicitudes por carácter.
  • Basada en Tiempo (Secuencial): Respaldo si el oráculo booleano no devuelve filas.
• Enumeración Completa: Lista bases de datos, tablas y columnas.
• Volcado de Tablas: Volcado de tablas individuales, de todas las tablas de una base de datos o un volcado nuclear completo a un archivo de texto con marca de tiempo.
• Interrupción Controlada: Ctrl+C durante la extracción detiene la consulta actual y devuelve resultados parciales sin bloquear la sesión.
• Persistencia de Sesión: Conéctese una vez y ejecute múltiples consultas mediante el menú interactivo.
• Sanitización de URLs: Elimina automáticamente rutas/consultas de la entrada del host para evitar la duplicación del endpoint.
• Resultados Listos para el Descifrado: Los volcados de usuarios incluyen el formato ID|user_login|user_pass con hashes bcrypt listos para hashcat -m 35500.

Instalación

No se requiere instalación. Solo descargue y ejecute:

# Clonar el repositorio
git clone https://github.com/AdarshThakur14777-cyber/CVE-2026-60137.git
# Navegar al directorio
cd CVE-2026-60137

# Ejecutar
python main.py

Requisitos:

• Python 3.8+
• No se necesitan paquetes externos (solo biblioteca estándar)

Uso

Lance el menú interactivo:

python main.py

Ejemplo de Sesión

============================================================
  WP SQLi Extractor v3 (CVE-2026-60137)
============================================================
------------------------------------------------------------
  CONEXIÓN
   0. Conectar / Cambiar objetivo
   1. Comprobar objetivo (versión + confirmación de vulnerabilidad)
------------------------------------------------------------
  HUELLA DIGITAL
   2. Versión de MySQL (@@version)
   3. Nombre de la base de datos actual
   4. Usuario actual de la base de datos
   5. Prefijo de tablas de WordPress
   6. Volcar wp_users (ID, login, hash de contraseña)
   7. Consulta SQL personalizada
   8. Extraer todas las huellas digitales (2+3+4+5)
------------------------------------------------------------
  ENUMERACIÓN
   9. Listar todas las bases de datos
  10. Listar todas las tablas (base de datos actual)
  11. Listar columnas de una tabla
------------------------------------------------------------
  VOLCADO
  12. Volcar una tabla específica
  13. Volcar todas las tablas (base de datos actual)
  14. Volcado completo a archivo (todas las tablas + todas las filas)
------------------------------------------------------------
  15. Salir
============================================================

Elección: 0
Objetivo (https://example.com): https://target.com
¿Omitir verificación TLS? (s/N):
Retardo de espera para basado en tiempo (por defecto 3):

[*] Conectando a https://target.com ...
[+] Endpoint por lotes: https://target.com/wp-json/batch/v1
[*] Versión de WordPress: 6.9.4 VULNERABLE
[*] Probando extracción basada en UNION ...
[!] UNION no disponible — probando boolean blind (8 hilos paralelos) ...
[+] Modo boolean-blind activo (8 hilos, ~7 solicitudes/carácter)
[+] Basado en tiempo también funciona (0.69s vs 3.78s)

Opciones del Menú

Conexión

Huella Digital

Enumeración

Volcado

Modos de Extracción

La herramienta intenta automáticamente tres modos de extracción en orden de velocidad:

1. Basado en UNION (Instantáneo)

Forja una fila falsa de wp_posts con el valor extraído codificado en hexadecimal en la columna post_title (envuelto en marcadores ||..||). La API REST lo refleja en la respuesta — la cadena completa en una única solicitud HTTP.

• 1 solicitud por consulta
• Funciona solo cuando no hay una caché de objetos persistente activa
• Usa CONCAT(0x7c7c, HEX(CAST((<expr>) AS CHAR)), 0x7c7c) para codificar el resultado

2. Boolean-Blind (Paralela)

Si UNION no está disponible, usa 8 hilos paralelos con búsqueda binaria para extraer cada carácter. El oráculo booleano comprueba si la condición inyectada AND (condition) devuelve filas.

• ~7 solicitudes por carácter (paralelizadas en 8 hilos)
• Búsqueda binaria en el rango ASCII 32-126
• Pre-escaneo de la longitud de la cadena mediante búsqueda binaria antes de la extracción
• Progreso mostrado como caracteres completados

3. Basado en Tiempo (Secuencial)

Respaldo si el oráculo booleano no devuelve filas (por ejemplo, un sitio sin entradas publicadas). Usa IF(condition, SLEEP(N), 0) para codificar la verdad en la latencia de la respuesta.

• ~7 × segundos de espera por carácter (secuencial)
• Modo más lento, pero funciona en bases de datos vacías

Rendimiento

Ejemplo de Tiempos (Boolean, 8 hilos)

Aviso Legal

Esta herramienta está diseñada únicamente para pruebas de seguridad autorizadas y fines educativos. Solo debe usar esta herramienta contra sistemas que le pertenezcan o para los que tenga permiso explícito por escrito. El acceso no autorizado a sistemas informáticos es ilegal.

Los autores y colaboradores de esta herramienta no son responsables de ningún uso indebido o daño causado por este software. Úsela bajo su propio riesgo.

Créditos

• Cadena de vulnerabilidades descubierta por Adam Kues (Assetnote / Searchlight Cyber)
• Técnica de entrada falsa UNION: sergiointel/wp2shell-poc (originador)
• Implementación adaptada de: Icex0/wp2shell-poc
• Técnica de detección de confusión de rutas: Hadrian / Icex0

Licencia

Esta herramienta se proporciona únicamente con fines educativos y de pruebas autorizadas.