CVE-2026-63030 - Preuve de concept de confusion des routes par lots de l'API REST WordPress

Description

Exploit de preuve de concept pour CVE-2026-63030, une vulnérabilité de pré-authentification dans WordPress (versions 6.9.0 à 7.0.1). Il combine :

• Confusion des routes par lots de l'API REST (inadéquation entre validation et exécution)
• Injection SQL via le paramètre author_exclude
• Empoisonnement du cache oEmbed + élévation de privilèges via les changesets Customizer
• Création d'un utilisateur admin
• Téléversement d'un plugin pour exécution de commandes à distance

Prérequis

• Python 3.10+
• Cible : WordPress 6.9.0 – 7.0.1 avec au moins un article ou une page publié(e)
• Aucune dépendance externe (bibliothèque standard uniquement)

Utilisation

python3 cve_2026_63030_exp.py --url http://target-wordpress.com/ --command "whoami"

Options

Exemple

# Auto-exploit with random admin credentials and run 'id'
python3 exploit.py --url http://192.168.1.100/wordpress/

# Custom admin and command
python3 exploit.py --url https://vuln-site.com/ --username backdoor --password 'H4ckMe!' --command 'ls -la /var/www/html'

Comment ça fonctionne (vue d'ensemble)

1. SQLi – Envoie une requête par lots forgée avec un paramètre author_exclude malveillant, exploitant la confusion de routes pour exécuter une requête UNION.
2. Élévation de privilèges – Empoisonne le cache oEmbed, puis utilise le point de terminaison Customizer pour créer un nouvel utilisateur admin via l'API REST.
3. RCE – Se connecte en tant que nouvel admin, téléverse un plugin minimal qui exécute des commandes système via shell_exec().
4. Sortie – Affiche le résultat de la commande sur stdout.

Avis de non-responsabilité

Ceci est uniquement une preuve de concept.
Il est destiné à :

• La recherche en sécurité
• Les tests d'intrusion autorisés
• Les environnements de laboratoire locaux

Ne l'utilisez pas contre des systèmes que vous ne possédez pas ou pour lesquels vous n'avez pas d'autorisation écrite explicite de tester. Les auteurs déclinent toute responsabilité en cas d'utilisation abusive.

Remarques

• L'exploit ne supprime pas l'utilisateur admin ni le plugin après exécution – gérez cela manuellement.
• Si la cible dispose d'un WAF ou d'un wp-config.php durci, l'injection SQL peut échouer.
• Pour de meilleurs résultats, désactivez DISALLOW_FILE_MODS et DISALLOW_UNFILTERED_HTML dans la configuration de la cible.