WP2Shell - CVE-2026-63030 / CVE-2026-60137 Injection SQL du Batch de l'API REST WordPress vers une exécution de code à distance (RCE)

Outil complet de découverte et d'exploitation de la vulnérabilité de l'endpoint Batch de l'API REST WordPress.

Cet outil exploite une vulnérabilité critique d'injection SQL dans l'endpoint /wp-json/batch/v1 de l'API REST WordPress, permettant à des attaquants non authentifiés d'exécuter des requêtes SQL arbitraires et d'obtenir une exécution de code à distance (RCE) sur les installations WordPress vulnérables.

⚡ Fonctionnalités

• Détection d'injection SQL aveugle basée sur le temps - Identifie avec précision les cibles vulnérables grâce à des délais de sommeil configurables
• Découverte automatique de méthode - Teste les méthodes POST, PUT, PATCH et DELETE pour trouver le format de payload fonctionnel
• Pipeline d'exploitation complet - Extrait les identifiants administrateur via une injection basée sur UNION
• Double voie d'accès RCE :
  • INTO OUTFILE - Écrit un webshell directement sur le système de fichiers lorsque le privilège FILE de MySQL est activé
  • Téléversement de plugin admin - Repli sur le téléversement de plugin authentifié lorsque l'écriture de fichiers est restreinte
• Analyse parallèle - Architecture multithread pour une énumération rapide des cibles
• Rapports complets - Génère des rapports JSON et HTML détaillés avec les identifiants extraits

🔧 Détails techniques

Vulnérabilité : CVE-2026-63030 / CVE-2026-60137 Vecteur : endpoint Batch de l'API REST WordPress (/wp-json/batch/v1) injection SQL Impact : RCE non authentifié Versions affectées : WordPress 6.4.x et versions antérieures (versions spécifiques à déterminer)

Chaîne d'exploitation

1. Découverte - Détection d'injection SQL aveugle basée sur le temps à l'aide de payloads SLEEP()
2. Détection des colonnes - Détermine la structure des tables via des sondes ORDER BY
3. Extraction de données - Injection basée sur UNION pour extraire :
   • Le nom de la base de données
   • Les noms des tables
   • Les identifiants administrateur (nom d'utilisateur + hash du mot de passe)
4. Injection de shell - Écrit un webshell PHP via INTO OUTFILE (lorsque c'est autorisé)
5. Repli - Téléversement de plugin authentifié via le panneau d'administration (si les identifiants sont extraits)

🚀 Démarrage rapide

# Clone the repository
git clone https://github.com/NULL200OK/wp2shell.git
cd wp2shell

# Install dependencies
pip install requests beautifulsoup4

# Create targets file
echo "https://target.com" > targets.txt

# Run discovery
python wp2shell.py targets.txt --scan --verbose

# Full exploitation
python wp2shell.py targets.txt --exploit --verbose

📋 Exemples d'utilisation :

# Scan single target with verbose output
python wp2shell.py targets.txt --exploit --verbose

# Custom sleep time for slow servers
python wp2shell.py targets.txt --exploit --sleep 20 --verbose

# Multi-threaded scanning (20 threads)
python wp2shell.py targets.txt --exploit --threads 20 --verbose

# Skip shell writes (extract credentials only)
python wp2shell.py targets.txt --exploit --no-shell --verbose

# Force specific HTTP method
python wp2shell.py targets.txt --exploit --method POST --verbose

📊 Sortie :

1- Rapport JSON : données structurées avec l'état de la vulnérabilité et les identifiants extraits

2- Rapport HTML : visualisation élégante et colorée avec des URL de shell cliquables

⚠️ Avertissement :

Cet outil est destiné uniquement à des fins éducatives et de tests autorisés. Utilisez-le uniquement sur des systèmes que vous possédez ou pour lesquels vous disposez d'une autorisation explicite de test. L'auteur décline toute responsabilité en cas d'utilisation abusive.