Escáner WP2Shell

Una herramienta de línea de comandos que comprueba si un sitio WordPress está expuesto a WP2Shell (CVE-2026-63030 y CVE-2026-60137). Lee la versión de WordPress y la superficie de la API REST mediante peticiones de solo lectura y emite un veredicto. No explota nada.

[!WARNING] Solo para pruebas autorizadas. Úsalo en sitios que poseas o para los que tengas permiso por escrito. El autor (DanSec) no se hace responsable del mal uso o de los daños.

Acerca de WP2Shell

WP2Shell encadena una inyección SQL (CVE-2026-60137) con una falla del procesador por lotes de REST (CVE-2026-63030) a través del endpoint /wp-json/batch/v1, lo que permite la ejecución remota de código sin autenticación en una instalación predeterminada de WordPress. Ambos CVE están en el catálogo de vulnerabilidades explotadas conocidas de CISA.

Instalación

Requiere Python 3.8+.

pip install -r requirements.txt

Se requieren requests y rich. sublist3r es opcional (enumeración de subdominios). Para una enumeración más amplia, instala subfinder (un binario de Go, no pip) y pasa --subfinder.

Uso

# Comprobar un host
python wpScanner.py example.com --passive

# Enumerar subdominios de un dominio raíz y comprobar cada uno
python wpScanner.py example.com --subfinder --threads 8

Resultados

Los resultados también se escriben en CSV. Cuando las fuentes de versión discrepan, la herramienta clasifica según la más baja para evitar un falso todo claro. Una comprobación remota no puede ver un parche retroportado que dejó la cadena de versión sin cambios, por lo que en hosts que controlas, wp core version es la verdad absoluta.

Remediación

Actualiza el núcleo a 6.9.5, 7.0.2 o 7.1+ (wp core update). Si aún no puedes parchear, bloquea /wp-json/batch/v1 en tu cortafuegos y restringe el acceso anónimo a REST.

Aviso legal

Proporcionado únicamente para uso autorizado y defensivo. Eres responsable de tener permiso para comprobar cualquier host al que lo apuntes.