CVE-2026-63030 — WordPress wp2shell एक्सप्लॉइट

WordPress कोर batch-confusion कमज़ोरी (CVE-2026-63030 / CVE-2026-60137) के लिए अनऑथेंटिकेटेड डिटेक्शन और एक्सप्लॉइटेशन टूल, जो REST API batch endpoint के माध्यम से SQL इंजेक्शन और रिमोट कोड एक्ज़िक्यूशन (RCE) की ओर ले जाती है।

⚠️ केवल अधिकृत सुरक्षा परीक्षण और शैक्षिक उद्देश्यों के लिए। नीचे अस्वीकरण देखें।

---

अवलोकन

प्रभावित WordPress संस्करण REST API batch endpoint को यहाँ एक्सपोज़ करते हैं:

• POST /wp-json/batch/v1, या
• POST /?rest_route=/batch/v1 (जब pretty-permalinks / wp-json अक्षम हो तो फ़ॉलबैक)

Batch confusion दोष के माध्यम से, batch body के अंदर नेस्टेड सब-रिक्वेस्ट उचित प्राधिकरण के बिना प्रोसेस किए जाते हैं, जिससे एक अनऑथेंटिकेटेड हमलावर SQL इंजेक्ट कर सकता है (जैसे author_exclude पैरामीटर के माध्यम से) और अंततः RCE प्राप्त कर सकता है।

यह रिपॉज़िटरी प्रदान करती है:

फ़ाइल	उद्देश्य
cve-2026-63030.py	Python CLI — संस्करण डिटेक्शन, batch-endpoint रिज़ॉल्यूशन, SLEEP-आधारित ब्लाइंड SQLi पुष्टि, और --query डेटा एक्सट्रैक्शन। बल्क स्कैनिंग, थ्रेड्स और प्रॉक्सी का समर्थन करता है।
cve-2026-63030.yaml	Nuclei टेम्पलेट — पैसिव संस्करण जाँच + दोनों endpoint वेरिएंट्स में सक्रिय समय-आधारित SQLi डिटेक्शन।

प्रभावित संस्करण

शाखा	प्रभावित सीमा
6.8.x	6.8.0 – 6.8.5
6.9.x	6.9.0 – 6.9.4
7.0.x	7.0.0 – 7.0.1

6.8.6, 6.9.5, और 7.0.2 में पैच किया गया।

आवश्यकताएँ

• Python 3.8+
• requests
• beautifulsoup4

pip install requests beautifulsoup4

उपयोग

python3 cve-2026-63030.py [options]

विकल्प

फ़्लैग	विवरण
-u, --url URL	एकल लक्ष्य URL।
-l, --list FILE	बल्क स्कैनिंग के लिए लक्ष्य URL की फ़ाइल (प्रति पंक्ति एक; # टिप्पणियाँ अनुमत)।
-p, --proxy URL	अनुरोधों को प्रॉक्सी के माध्यम से रूट करें (जैसे http://127.0.0.1:8080)।
-t, --threads N	बल्क मोड के लिए समवर्तीता (डिफ़ॉल्ट 10)।
-q, --query SQL	टाइम-आधारित ब्लाइंड इंजेक्शन के माध्यम से निकालने के लिए SQL, जैसे "select @@version"।
--exploit	शोषण की पुष्टि के लिए SLEEP पेलोड फायर करें।
--delay SEC	ब्लाइंड SQLi के लिए SLEEP विंडो (डिफ़ॉल्ट 2)।
--timeout SEC	प्रति-अनुरोध टाइमआउट (डिफ़ॉल्ट 10)।
--silent	बैनर को दबाएँ।

-u/--url और -l/--list परस्पर अनन्य हैं।

उदाहरण

# 1. Detect whether a single target is vulnerable (version + batch endpoint)
python3 cve-2026-63030.py -u http://target.tld/

# 2. Route through Burp/ZAP
python3 cve-2026-63030.py -u http://target.tld/ -p http://127.0.0.1:8080

# 3. Confirm exploitation via the SLEEP payload
python3 cve-2026-63030.py -u http://target.tld/ --exploit --delay 5

# 4. Exfiltrate data through time-based blind SQLi
python3 cve-2026-63030.py -u http://target.tld/ -q "select @@version"
python3 cve-2026-63030.py -u http://target.tld/ -q "select user()"

# 5. Bulk scan a list of hosts and extract DB version from each vulnerable one
python3 cve-2026-63030.py -l hosts.txt -t 20 -q "select @@version"

यह कैसे काम करता है

1. वर्ज़न डिटेक्शन — <meta name="generator"> टैग को पार्स करता है और इसे प्रभावित रेंजों के विरुद्ध जाँचता है।
2. एंडपॉइंट रिज़ॉल्यूशन — पहले /wp-json/batch/v1 आज़माता है, और केवल तभी /?rest_route=/batch/v1 पर फ़ॉलबैक करता है जब पहला उत्तर न दे।
3. पुष्टि — --exploit एक SLEEP(n) पेलोड भेजता है और सत्यापित करता है कि प्रतिक्रिया वास्तव में रुकती है (duration >= delay)।
4. निष्कर्षण — --query बाइनरी सर्च (IF(ASCII(SUBSTRING(...)), SLEEP(n), 0)) के माध्यम से एक बार में एक अक्षर परिणाम निकालता है।

Nuclei Template

# Validate
nuclei -tl -t cve-2026-63030.yaml

# Scan
nuclei -t cve-2026-63030.yaml -l hosts.txt
nuclei -t cve-2026-63030.yaml -u http://target.tld/

टेम्पलेट दोनों एंडपॉइंट वेरिएंट की जाँच करता है और प्रभावित WordPress संस्करण पर निर्भर duration >= 5 के माध्यम से समय-आधारित SQLi की पुष्टि करता है।

अस्वीकरण

यह प्रोजेक्ट केवल शैक्षिक उद्देश्यों और अधिकृत सुरक्षा परीक्षण के लिए प्रदान किया गया है। आप इसका उपयोग केवल उन सिस्टमों के विरुद्ध कर सकते हैं जिनके आप स्वामी हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट, लिखित अनुमति है (जैसे कि पेनिट्रेशन-टेस्ट स्कोप, बग-बाउंटी प्रोग्राम, या CTF)।

उन सिस्टमों की अनधिकृत स्कैनिंग या शोषण जिनके आप स्वामी नहीं हैं या जिनके परीक्षण के लिए आप अधिकृत नहीं हैं, अवैध है और कंप्यूटर-दुरुपयोग कानूनों (जैसे अमेरिका में CFAA, यूके में Computer Misuse Act, और अन्यत्र समतुल्य क़ानून) के अंतर्गत आपराधिक अपराध गठित कर सकता है।

लेखक और योगदानकर्ता इस सॉफ़्टवेयर के उपयोग या दुरुपयोग से उत्पन्न किसी भी क्षति, डेटा हानि, या कानूनी परिणामों के लिए कोई दायित्व स्वीकार नहीं करते और कोई ज़िम्मेदारी नहीं लेते। इस टूल का उपयोग करके आप घोषित करते हैं कि आपका उपयोग वैध है और आप सभी संबंधित जोखिम स्वयं वहन करते हैं।

संदेह होने पर, इसे न चलाएँ।

संदर्भ

• WordPress Security Advisory — GHSA-ff9f-jf42-662q
• WordPress 7.0.2 Release Notes
• WPScan
• SCLyber — wp2shell research

लेखक

0xh7ml — जैसा है वैसा ही प्रदान किया गया, रक्षात्मक अनुसंधान और शिक्षा के लिए।