La inyección SQL: Dos llamadas batch anidadas explotan esto. El batch externo elude la lista de métodos permitidos (que normalmente bloquea GET). El batch interno entrega una cadena escalar author_exclude a GET /wp/v2/posts - la desincronización la enruta más allá de la validación, y WP_Query interpola la cadena no saneada directamente en SQL, produciendo una inyección ciega basada en UNION.

Envenenamiento de caché: La SQLi devuelve objetos WP_Post falsificados, que WordPress almacena en caché en memoria. Estas publicaciones falsas contienen shortcodes [embed] que hacen que WordPress cree filas reales de oembed_cache en la base de datos a partir de las referencias falsas.

Escalada mediante changeset: Usando la SQLi, el atacante falsifica una publicación customize_changeset en memoria con "user_id": 1 en su JSON. Un gadget de detección de ciclos activa wp_update_post() sin sobrescribir post_content, preservando el payload del atacante. Aplicar el changeset asume temporalmente la identidad del administrador.

Reentrada de hooks: Una publicación fabricada con estado parse y tipo request dispara el hook parse_request, reproduciendo toda la petición batch con el rol de administrador asumido. Esta vez, una subpetición POST /wp/v2/users tiene éxito, creando una nueva cuenta de administrador.

Ejecución de código: El atacante inicia sesión como el administrador creado y sube un plugin malicioso para ejecutar comandos arbitrarios.

Versiones afectadas

Uso

Para usar este PoC, el único requisito es Python 3.8+.

Ejecútelo desde el directorio del repositorio para realizar una comprobación de vulnerabilidad:

Modo Check (predeterminado)

Realiza una única comprobación de vulnerabilidad. Envía una sonda de marcador batch benigna que detecta el fallo de confusión de rutas sin ejecutar payloads de SQLi. Un objetivo vulnerable devuelve HTTP 207 con el patrón de error parse_path_failed, block_cannot_read y rest_batch_not_allowed.

Use --confirm-sqli para enviar también un payload activo de confirmación de SQLi. La confirmación intenta primero la reflexión UNION, y luego recurre a sondas basadas en temporización.

Comprobar un único objetivo (modo predeterminado)

Comprobar con modo explícito

Comprobar con confirmación de SQLi

Modo Read - Extraer datos mediante inyección SQL

Extrae datos de la base de datos usando la inyección SQL preautenticación. Por defecto usa --technique auto, que prueba los métodos disponibles en este orden:

• union - falsifica una fila WP_Post falsa mediante UNION y lee su título de vuelta desde la respuesta REST como ||HEX(value)||. Una petición por valor. El más rápido.
• error - usa EXTRACTVALUE/UPDATEXML para filtrar ~15 bytes por petición. Funciona cuando el objetivo refleja errores de MySQL (p. ej., WP_DEBUG_DISPLAY activado).
• blind - búsqueda binaria booleana, ~8 peticiones por carácter. Lee la cabecera X-WP-Total como señal de verdadero/falso. Funciona incluso cuando no se refleja ningún dato.

Fuerce una técnica específica con --technique union|error|blind. Estas rutas de lectura son de solo lectura y no escriben en la base de datos.

Huella del servidor (consulta predeterminada)

Volcar logins y hashes de contraseñas

Consulta SQL personalizada

Forzar técnica blind

Extraer con técnica basada en errores

Modo Shell

Ejecuta comandos en el servidor objetivo. Funciona en dos modos:

Con credenciales (inicia sesión como administrador existente y sube un shell de plugin):

Ejecutar un comando específico

Shell interactivo

Ejecutar un único comando

Shell interactivo

El webshell del plugin se sube con una ruta aleatoria y un token por ejecución. El webshell subido se elimina automáticamente. Cuando el puente preautenticación crea un administrador, esa cuenta generada se elimina automáticamente después de que finaliza la sesión de shell.

Lista de todos los flags:

Referencias:

1. https://slcyber.io/research-center/exploit-brokers-pay-500000-for-a-wordpress-rce-i-found-one-with-gpt5-6/
2. https://www.picussecurity.com/resource/blog/cve-2026-63030-and-cve-2026-60137-wp2shell-wordpress-rce-explained

Descargo de responsabilidad

Esta herramienta ha sido creada únicamente con fines educativos o de bug bounty. Queda estrictamente prohibido su uso no autorizado fuera de entornos controlados.