CVE-2026-60137 — PoC d'injection SQL dans WordPress Core

Preuve de concept non destructrice et harnais de vérification pour CVE-2026-60137, une injection SQL aveugle dans le cœur de WordPress (WP_Query::author__not_in), accessible via le paramètre author_exclude de l'API REST.

Cause racine

WP_Query::get_posts() construit le SQL en concaténant sous forme de chaîne la variable de requête author__not_in dans :

... AND {wpdb->posts}.post_author NOT IN ( <value> )

La valeur est assainie (absint par élément) uniquement lorsqu'elle arrive sous forme de tableau. Si une chaîne scalaire est fournie — le paramètre REST author_exclude est mappé en interne vers author__not_in — le contrôle d'assainissement is_array() est ignoré et la chaîne brute se retrouve dans la clause NOT IN (...), ce qui entraîne une injection SQL (CWE-89).

Une charge utile de la forme 1) OR SLEEP(6)# produit :

post_author NOT IN ( 1) OR SLEEP(6)# )

qui est analysée comme post_author NOT IN (1) OR SLEEP(6) (la ) finale est consommée par le commentaire #) — un oracle aveugle temporel propre, sans aucune écriture en base de données.

Versions affectées / corrigées

Notes sur l'atteignabilité

• 6.9.0+ — sink accessible sans authentification via la confusion de route /wp-json/batch/v1.
• 6.8.x — le schéma REST rejette un author_exclude scalaire (HTTP 400) sur la route posts standard, le sink n'est donc généralement accessible que lorsqu'un plugin/thème transmet une entrée non fiable, ou via une session authentifiée (--cookie) par la route batch.

Ce que fait le script

cve_2026_60137_poc.py est en lecture seule vis-à-vis de la base de données :

1. Prend l'empreinte de la cible (balise meta generator, flux, readme.html, index /wp-json/) afin de vérifier si la version se trouve dans une plage affectée.
2. Détecte l'injection avec un oracle temporel : référence vs. contrôle d'analyse SLEEP(0) vs. charge utile SLEEP(n), sur plusieurs vecteurs de livraison (routes REST directes, ?rest_route=, et le point de terminaison batch), et rapporte un verdict par vecteur.
3. Extrait en option une ligne wp_users (user_login, user_pass, user_email) via un timing de recherche binaire aveugle, en utilisant strictement SELECT/SLEEP — il n'écrit jamais dans la base de données.

Utilisation

# Fingerprint only, no payloads sent
python3 cve_2026_60137_poc.py --url https://target --safe

# Run the detection matrix
python3 cve_2026_60137_poc.py --url https://target --sleep 6 --samples 3

# Authenticated session + extract wp_users row 1
python3 cve_2026_60137_poc.py --url https://target \
    --cookie 'wordpress_logged_in_XXX=YYY' --extract --user-id 1

# Route through Burp, skip TLS verification, save machine-readable evidence
python3 cve_2026_60137_poc.py --url https://target \
    --proxy http://127.0.0.1:8080 --no-verify-tls --json-out evidence.json

Options

Utilisation légale / responsable

Cet outil est fourni uniquement pour des tests de sécurité autorisés — tests d'intrusion, CTF et recherches sur des systèmes que vous possédez ou pour lesquels vous disposez d'une autorisation écrite explicite d'audit. L'exécuter contre des systèmes sans autorisation est illégal. L'auteur décline toute responsabilité en cas d'utilisation abusive.

Toute sortie écrite avec --json-out peut contenir l'URL testée, l'empreinte de version et les preuves de timing — considérez-la comme des données d'engagement sensibles.