CVE-2026-63030

Preuve de concept — Injection SQL par confusion de routes dans le lot REST de WordPress (CVE-2026-63030)
Recherche, développement de l’exploit et documentation par Ch4120N

---

⚠️ Avertissement légal

Ce dépôt et l’outil qui l’accompagne (exploit.py) sont destinés strictement à des fins éducatives, à des tests d’intrusion autorisés et à la recherche en sécurité.
Utiliser cet exploit contre des cibles sans autorisation préalable, expresse et écrite est illégal et enfreint les lois sur la fraude et les abus informatiques dans le monde entier. L’auteur (Ch4120N) décline toute responsabilité en cas d’utilisation abusive, de dommages ou de conséquences juridiques découlant de l’utilisation de ce code. Agissez toujours dans le respect de la loi et obtenez les autorisations appropriées.

---

📖 Présentation de la vulnérabilité : CVE-2026-63030

CVE-2026-63030 est une vulnérabilité critique, non authentifiée, affectant l’API REST de WordPress. Elle exploite un bug de confusion de routes dans le point de terminaison de traitement par lot imbriqué (/wp-json/batch/v1 ou /?rest_route=/batch/v1).

Cause racine

Lorsque WordPress traite un lot de requêtes API REST, il valide chaque sous-requête par rapport à son schéma spécifique avant exécution. Cependant, en raison d’une faille dans la façon dont le pointeur de routage interne gère des chemins délibérément malformés (par exemple ///), le schéma de validation se désynchronise du gestionnaire d’exécution réel.

Chaîne d’attaque

1. Confusion de routes et injection SQL : Un attaquant injecte une charge utile de lot imbriquée. La désynchronisation fait qu’une requête ciblant le point de terminaison /wp/v2/users (qui n’accepte pas author_exclude) est exécutée par le gestionnaire /wp/v2/posts. Le paramètre non assaini author_exclude est transmis directement dans la clause author__not_in de WP_Query, ce qui entraîne une injection SQL non authentifiée.
2. Création d’un administrateur pré-authentification : L’injection SQL est utilisée pour lire la base de données et identifier les ID de publications oembed_cache. L’exploit utilise ensuite une charge utile changeset du Customizer pour empoisonner le cache du menu de navigation, trompant WordPress afin qu’il exécute une requête de création d’utilisateur dans le contexte d’un administrateur existant.
3. Exécution de code à distance (RCE) : Avec un compte administrateur forgé, l’outil s’authentifie, téléverse un plugin de webshell PHP aléatoire protégé par jeton, exécute des commandes OS et nettoie proprement toutes les traces.

Versions affectées

• WordPress 6.9.0 à 6.9.4
• WordPress 7.0.0 à 7.0.1 (Remarque : des versions plus anciennes peuvent être vulnérables selon les configurations de plugins spécifiques et les rétroportages de l’API REST).

---

🚀 Fonctionnalités

• Zéro dépendance : 100 % bibliothèque standard Python 3. Aucun pip install requis.
• Fichier unique modulaire : Tous les composants (client, injection SQL, exploit, shell, CLI) sont organisés proprement dans un script portable unique (exploit.py).
• Extraction SQL multi-techniques : Bascule automatiquement vers les méthodes disponibles les plus rapides :
  1. Par UNION : Extraction en bande en forgeant une fausse ligne WP_Post (1 requête par valeur).
  2. Par erreur : Exploite les erreurs XPATH EXTRACTVALUE() si WP_DEBUG_DISPLAY est activé.
  3. Aveugle booléenne/temporelle : Extraction de caractères par recherche binaire avec délais de sommeil configurables.
• Pont pré-authentification automatisé : Aucun identifiant existant nécessaire ; l’outil crée lui-même son propre compte administrateur à la volée.
• Webshell éphémère : Génère un slug de plugin unique et un jeton cryptographiquement sécurisé. Le shell refuse de s’exécuter sans le jeton et s’autodétruit après utilisation.
• Nettoyage automatique : Supprime automatiquement le compte administrateur forgé et le répertoire du plugin webshell à la sortie.
• REPL interactif : Fournit un pseudo-terminal qui maintient l’état du répertoire de travail distant (prise en charge de cd).

---

📦 Installation et prérequis

Aucun paquet tiers n’est requis. Assurez-vous de disposer de Python 3.8 ou supérieur.

# Clone the repository
git clone https://github.com/Ch4120N/CVE-2026-63030.git
cd CVE-2026-63030

# Make the script executable
chmod +x exploit.py

# Verify Python version
python3 --version
# Executing the script
python3 exploit.py

---

💻 Utilisation détaillée et options

L’exploit est divisé en trois sous-commandes principales : check, read et shell.

Options globales

Ces options s’appliquent à toutes les sous-commandes :

Option	Description	Défaut
url	URL de base de la cible (p. ex. http://target.com)	Requis
--rest-route	Utiliser /?rest_route=/batch/v1 au lieu de /wp-json/batch/v1 (pour les sites avec permaliens désactivés).	False
--timeout	Délai d’expiration des requêtes HTTP en secondes.	30.0
--proxy	Proxy HTTP/HTTPS (p. ex. http://127.0.0.1:8080).	None

1. check — Détection de vulnérabilité

Sonde la cible en toute sécurité pour confirmer la présence des marqueurs de confusion de routes et teste la temporisation de l’injection SQL sans extraire de données.

Option	Description	Défaut
--sleep	Délai de temporisation SQL (secondes) utilisé par le repli --confirm-sqli.	3.0
--samples	Nombre de paires de temporisation SQL de référence/retardées à tester.	3
--confirm-sqli	Envoyer une charge utile active de confirmation d’injection SQL (ajoute un léger délai).	False

2. read — Extraction de base de données

Extrait directement les données de la base de données via l’injection SQL.

Option	Description	Défaut
--preset	Préréglages d’extraction rapide : fingerprint (version/utilisateur/base) ou users (identifiants/hachages).	fingerprint
--query	Exécuter une expression SQL scalaire personnalisée (p. ex. "SELECT @@version").	None
--prefix	Préfixe des tables de la base de données.	wp_
--max-length	Nombre maximal de caractères à extraire par valeur.	128
--technique	Technique d’extraction : auto, union, error ou blind.	auto

3. shell — Exécution de code à distance

Déploie le webshell et exécute des commandes. Si aucun identifiant n’est fourni, il déclenche automatiquement le pont de création d’administrateur pré-authentification.

Option	Description	Défaut
--user	Nom d’utilisateur administrateur. (Omettez pour utiliser le pont pré-authentification).	None
--password	Mot de passe administrateur. (Omettez pour utiliser le pont pré-authentification).	None
--cmd	Commande unique à exécuter sur la cible.	None
-i, --interactive	Ouvrir un shell interactif (REPL) après le déploiement.	False

---

🖥️ Preuves d’exécution et exemples

Voici des exemples concrets de l’outil en action.

Exemple 1 : Vérification de la vulnérabilité

$ python3 exploit.py check http://vulnerable-wordpress.local --confirm-sqli