CVE-2026-63030 : wp2shell

Exploit d'injection SQL par désynchronisation de l'API Batch WordPress

Outil de preuve de concept pour extraire les utilisateurs et les hashs de mots de passe via la vulnérabilité CVE-2026-63030 (wp2shell).

Informations sur la vulnérabilité

CVE : CVE-2026-63030 (wp2shell)
CVE associée : CVE-2026-60137
Type : Injection SQL aveugle sans authentification
Versions affectées : WordPress 6.9.0–6.9.4, 7.0.0–7.0.1
Corrigé dans : 6.9.5, 7.0.2+

Utilisation

python POC.py <target_url> [options]

Utilisation de base

python POC.py --rest-route http://target.com

Options

Exemple de sortie :

[*] Scanning: http://127.0.0.1/
[*] 1 users found
[+] ID:1 User:admin Hash:$wp$2y$10$Z6gwPduKb7wAbm0bHht1be7SxrgbyxgnbPmTVcVz9nP1KBX811xQy
[*] Requests: 553

Références

Penligent Analysis - CVE-2026-63030 wp2shell
Rapid7 Labs - CVE-2026-63030 : wp2shell, une vulnérabilité critique d'exécution de code à distance dans le cœur de WordPress
Version de sécurité WordPress 7.0.2

`target`	URL cible unique	-
`-l, --list`	Fichier contenant une liste de cibles (une par ligne)	-
`--prefix`	Préfixe des tables de la base de données	`wp_`
`--rest-route`	Utiliser `?rest_route=`	Désactivé
`--timeout`	Délai d'expiration de la requête (secondes)	30
`--proxy`	Proxy HTTP (compatible Burp/ZAP)	Aucun
`--max-len`	Longueur maximale d'extraction	255

CVE-2026-63030

Populaires