📖 Présentation de la vulnérabilité : CVE-2026-63030

CVE-2026-63030 est une vulnérabilité critique, non authentifiée, affectant l’API REST de WordPress. Elle exploite un bug de confusion de routes dans le point de terminaison de traitement par lot imbriqué (/wp-json/batch/v1 ou /?rest_route=/batch/v1).

Cause racine

Lorsque WordPress traite un lot de requêtes API REST, il valide chaque sous-requête par rapport à son schéma spécifique avant exécution. Cependant, en raison d’une faille dans la façon dont le pointeur de routage interne gère des chemins délibérément malformés (par exemple ///), le schéma de validation se désynchronise du gestionnaire d’exécution réel.

Chaîne d’attaque

1. Confusion de routes et injection SQL : Un attaquant injecte une charge utile de lot imbriquée. La désynchronisation fait qu’une requête ciblant le point de terminaison /wp/v2/users (qui n’accepte pas author_exclude) est exécutée par le gestionnaire /wp/v2/posts. Le paramètre non assaini author_exclude est transmis directement dans la clause author__not_in de WP_Query, ce qui entraîne une injection SQL non authentifiée.
2. Création d’un administrateur pré-authentification : L’injection SQL est utilisée pour lire la base de données et identifier les ID de publications oembed_cache. L’exploit utilise ensuite une charge utile changeset du Customizer pour empoisonner le cache du menu de navigation, trompant WordPress afin qu’il exécute une requête de création d’utilisateur dans le contexte d’un administrateur existant.
3. Exécution de code à distance (RCE) : Avec un compte administrateur forgé, l’outil s’authentifie, téléverse un plugin de webshell PHP aléatoire protégé par jeton, exécute des commandes OS et nettoie proprement toutes les traces.

Versions affectées

• WordPress 6.9.0 à 6.9.4
• WordPress 7.0.0 à 7.0.1 (Remarque : des versions plus anciennes peuvent être vulnérables selon les configurations de plugins spécifiques et les rétroportages de l’API REST).

🚀 Fonctionnalités

• Zéro dépendance : 100 % bibliothèque standard Python 3. Aucun pip install requis.
• Fichier unique modulaire : Tous les composants (client, injection SQL, exploit, shell, CLI) sont organisés proprement dans un script portable unique (exploit.py).
• Extraction SQL multi-techniques : Bascule automatiquement vers les méthodes disponibles les plus rapides :
  1. Par UNION : Extraction en bande en forgeant une fausse ligne WP_Post (1 requête par valeur).
  2. Par erreur : Exploite les erreurs XPATH EXTRACTVALUE() si WP_DEBUG_DISPLAY est activé.
  3. Aveugle booléenne/temporelle : Extraction de caractères par recherche binaire avec délais de sommeil configurables.
• Pont pré-authentification automatisé : Aucun identifiant existant nécessaire ; l’outil crée lui-même son propre compte administrateur à la volée.
• Webshell éphémère : Génère un slug de plugin unique et un jeton cryptographiquement sécurisé. Le shell refuse de s’exécuter sans le jeton et s’autodétruit après utilisation.
• Nettoyage automatique : Supprime automatiquement le compte administrateur forgé et le répertoire du plugin webshell à la sortie.
• REPL interactif : Fournit un pseudo-terminal qui maintient l’état du répertoire de travail distant (prise en charge de cd).

📦 Installation et prérequis

Aucun paquet tiers n’est requis. Assurez-vous de disposer de Python 3.8 ou supérieur.

💻 Utilisation détaillée et options

L’exploit est divisé en trois sous-commandes principales : check, read et shell.

Options globales

Ces options s’appliquent à toutes les sous-commandes :

1. check — Détection de vulnérabilité

Sonde la cible en toute sécurité pour confirmer la présence des marqueurs de confusion de routes et teste la temporisation de l’injection SQL sans extraire de données.

2. read — Extraction de base de données

Extrait directement les données de la base de données via l’injection SQL.

3. shell — Exécution de code à distance

Déploie le webshell et exécute des commandes. Si aucun identifiant n’est fourni, il déclenche automatiquement le pont de création d’administrateur pré-authentification.

🖥️ Preuves d’exécution et exemples

Voici des exemples concrets de l’outil en action.

Exemple 1 : Vérification de la vulnérabilité

Exemple 2 : Extraction de l’empreinte de la base de données

Exemple 3 : Récupération des identifiants utilisateur

Exemple 4 : Obtention d’un shell interactif (pré-authentification)

Remarquez comment l’outil crée automatiquement un compte administrateur, déploie le shell et nettoie après la sortie.

🧠 Analyse technique approfondie

L’amorce de désynchronisation

Le cœur de l’exploit repose sur l’injection de _DESYNC_PRIMER = {"method": "POST", "path": "///"}. Cette URL invalide force le routage interne de WordPress à générer une WP_Error pour la première sous-requête. Cela décale le pointeur interne, ce qui fait que la deuxième sous-requête est validée selon un schéma, mais exécutée par le gestionnaire de la troisième sous-requête. Cela fait passer clandestinement le paramètre author_exclude dans le WP_Query.

Primitive UNION de faux billet

Plutôt qu’une injection SQL aveugle lente, l’outil utilise un UNION SELECT pour injecter une ligne wp_posts factice et entièrement formée. En définissant orderby=none et per_page=500, il empêche WP_Query de fractionner la requête. Le post_title injecté contient le résultat codé en hexadécimal de l’expression SQL cible, entouré de délimiteurs ||, qui est reflété directement dans la réponse JSON de l’API REST.

OpSec du webshell

Le plugin PHP déployé est conçu pour une discrétion maximale :

• Répertoire et nom de fichier aléatoires (p. ex. wp_a1b2c3d4.php).
• Exige un jeton hexadécimal de 32 caractères (t) et une commande (c) via les paramètres GET.
• Utilise hash_equals() pour prévenir les attaques temporelles sur le jeton.
• Change automatiquement de répertoire (chdir) pour empêcher la divulgation du chemin.
• La sortie est entourée de marqueurs EXPLOIT::...::END pour un analyse propre par le client Python.

🛡️ Atténuation et correctifs

1. Mettre à jour WordPress : Mettez immédiatement à niveau vers WordPress 7.0.2 ou supérieur, qui inclut le correctif pour CVE-2026-63030.
2. Désactiver le point de terminaison de lot : Si le point de terminaison de lot n’est pas explicitement requis, désactivez-le via un plugin must-use (mu-plugins) :
   root@kitploit:~

   add_filter( 'rest_request_before_callbacks', function( $response, $handler, $request ) {
       if ( $request->get_route() === '/batch/v1' ) {
           return new WP_Error( 'rest_disabled', 'Batch endpoint disabled', array( 'status' => 403 ) );
       }
       return $response;
   }, 10, 3 );
   

3. Pare-feu d’application web (WAF) : Implémentez des règles pour bloquer :
   • Les requêtes /batch/v1 imbriquées contenant author_exclude dans l’URI.
   • Les requêtes contenant UNION, SLEEP() ou EXTRACTVALUE dans les paramètres d’URL.
   • Les chemins malformés comme /// dans les requêtes API REST.
4. Désactiver WP_DEBUG_DISPLAY : Assurez-vous que WP_DEBUG_DISPLAY est défini sur false dans wp-config.php pour empêcher les fuites d’injection SQL basées sur les erreurs.

📜 Crédits et remerciements

• Recherche de vulnérabilité et développement de l’exploit : Ch4120N
• Inspiration conceptuelle : Confusion de routes de l’API REST de WordPress, empoisonnement du cache oEmbed et primitives Customizer changeset.

« Un grand pouvoir implique de grandes responsabilités. Utilisez cette connaissance pour défendre, non pour détruire. »
— Ch4120N