Cadena de ataque

El núcleo no está en la «escritura en la base de datos mediante consultas apiladas», sino en:

1. La fase de validación y la fase de despacho de serve_batch_request_v1() no sincronizan los índices de $matches / $validation, lo que provoca route confusion.
2. Tras el desajuste, author_exclude en forma de cadena entra en author__not_in de WP_Query, se concatena en NOT IN (...) y se forma una inyección SQL.
3. Mediante UNION SELECT se falsifica una fila completa de wp_posts, se activa la lógica de oEmbed / Customizer y se cambia el contexto del usuario actual al de un administrador existente.
4. Como administrador, se invoca la interfaz REST de creación de usuarios y se escribe un nuevo administrador.
5. Se inicia sesión en el panel de administración, se sube un plugin y se consigue la ejecución de comandos.

Requisitos del entorno

• Python 3.10+ (solo biblioteca estándar, sin dependencias de terceros)
• El objetivo es una instancia de WordPress que tengas autorización para probar
• El PHP del objetivo debe conservar al menos una función de ejecución (una de proc_open / passthru / system / shell_exec / exec / popen)
• Si disable_functions deshabilita todas las funciones de ejecución de comandos, aún se puede crear el administrador correctamente, pero la fase de RCE fallará

Descripción de archivos

Uso

Uso mínimo (genera un administrador automáticamente, ejecuta id por defecto)

Personalización de todos los parámetros

Descripción de parámetros

Ejemplo de salida esperada

El script intenta al finalizar:

1. Eliminar el administrador creado en esta ejecución
2. Eliminar el directorio del plugin temporal

Si falla en algún punto, limpia manualmente con las credenciales indicadas en la salida.

Notas importantes

1. Solo entornos autorizados: no lo utilices contra sistemas sin autorización.
2. Restricciones del objetivo: el script rechaza por defecto objetivos con IP pública literal; solo permite direcciones de red privada / loopback / enlace local u objetivos en forma de dominio.
3. Refuerzo de PHP: si aparece has been disabled for security reasons, significa que disable_functions ha deshabilitado la función correspondiente. El PoC intenta varios métodos de ejecución en secuencia; si todos están deshabilitados, RCE no está disponible, pero la fase de creación del administrador aún puede tener éxito.
4. Contenido del sitio: se necesita al menos un artículo o página publicada para sembrar la caché de oEmbed.
5. Idempotencia y limpieza: cada ejecución crea un nuevo administrador y un plugin temporal; en la ruta de éxito se limpian automáticamente. En caso de fallo, revisa manualmente wp-admin/users.php y wp-content/plugins/.

Recomendaciones de mitigación

• Actualizar a la versión oficial corregida (según el aviso de seguridad de WordPress)
• Si el parche no está disponible, se puede restringir temporalmente el acceso no autenticado a /batch/v1
• En producción, mantener disable_functions y la configuración del usuario web con privilegios mínimos para reducir el impacto de la ejecución de RCE

Disclaimer

El código de este repositorio se utiliza únicamente para investigación de seguridad y reproducción autorizada de vulnerabilidades. El usuario debe asegurarse por sí mismo de cumplir con las leyes y regulaciones locales y con el alcance de autorización del sistema objetivo. El autor no se hace responsable de ningún uso indebido.