WP2Shell — CVE-2026-63030 + CVE-2026-60137

RCE preautenticación en el núcleo de WordPress (exploit masivo / detector)

📋 Descripción general de la vulnerabilidad

🔍 Descripción técnica

Dos fallos encadenados en el núcleo de WordPress:

1. CVE-2026-60137 — Inyección SQL: inyección SQL en el parámetro author__not_in de la clase interna WP_Query.
2. CVE-2026-63030 — Confusión de rutas en el batch de la REST API: el endpoint /wp-json/batch/v1 desincroniza las entradas del batch, haciendo que una petición "caiga" en la ruta siguiente.

La cadena convierte la SQLi en RCE preautenticación:

route confusion /wp-json/batch/v1 ─► SQLi no author__not_in
        │                                    │
        └──────────────┬─────────────────────┘
                       ▼
        UNION fake-post + oEmbed + changeset poisoning
                       ▼
        POST /wp/v2/users  (roles: administrator)  ← admin creado sin auth
                       ▼
        login → upload plugin backdoor → RCE

Alternativas: INTO OUTFILE directo (privilegio FILE) y extracción ciega de hash + crack.

🚀 Uso

python wp2shell.py exploit -l targets.txt --cmd whoami --authorized -k -c 10 --delay 2
python wp2shell.py remote  -l targets.txt --authorized --active-probe -c 20 -f csv -o scan.csv

📊 Salida

[+] [14:22:31] https://target.com  OWNED  ✓1 ~0 ✗10
[~] [14:22:32] https://other.com   ADMIN  ✓1 ~1 ✗10

---- SUMMARY ----
[+] owned=1   [~] admin=1   [-] fail=10   [.] error=0

• owned.txt — objetivos con RCE (shell URL)
• admins.txt — admins creados sin sink de RCE (credenciales)
• exploit_log.txt — detalle por objetivo
• results.csv — resumen (exit_code: 0=owned, 4=admin, 2=fail, 3=error)

⚙️ Características

• UNION SQLi in-band + timing + X-WP-Total oracle
• Admin preautenticación vía oEmbed/changeset poisoning
• Login oculto (WPS Hide Login whl_page vía SQLi) + slugs comunes
• Subida de plugin con nonce/activación correctos + fallback INTO OUTFILE
• Masivo sin límite, paralelo por objetivo, deadline anti-hang
• owned/admins en tiempo real

📁 Estructura de archivos

├── wp2shell.py       # exploit + detector
├── targets.txt       # objetivos (una URL por línea)
├── owned.txt         # RCE conseguido (auto-creado)
├── admins.txt        # admins creados (auto-creado)
└── README.md

⚠️ Aviso legal

╔══════════════════════════════════════════════════════════════════╗
║                        LEGAL DISCLAIMER                          ║
╠══════════════════════════════════════════════════════════════════╣
║  This tool is provided for EDUCATIONAL and AUTHORIZED           ║
║  SECURITY TESTING purposes only.                                ║
║  Only use on systems you own or have explicit permission.       ║
║  The author is NOT responsible for any misuse or damage.        ║
╚══════════════════════════════════════════════════════════════════╝

🛡️ Mitigación

1. Actualice a 6.8.6 / 6.9.5 / 7.0.2 (o superior)
2. Bloquee POST no autenticado en /wp-json/batch/v1 y /?rest_route=/batch/v1
3. Audite wp-content/uploads/ y wp-content/plugins/ en busca de PHP sospechoso