wp2shell-check

WordPress "wp2shell" प्री-ऑथेंटिकेशन RCE श्रृंखला (CVE-2026-63030 + CVE-2026-60137) के लिए गैर-आक्रामक एक्सपोज़र जाँचकर्ता।

⚠️ केवल अधिकृत उपयोग। इसे केवल उन्हीं WordPress इंस्टेंस पर चलाएँ जिनके आप मालिक हैं या जिनके परीक्षण की आपको स्पष्ट अनुमति है। यह एक ट्राइएज सहायता है, एक्सप्लॉइट नहीं। बिना अनुमति के सिस्टम स्कैन करना अवैध हो सकता है।

यह क्या करता है

एक URL दिए जाने पर, wp2shell-check:

1. होमपेज पर generator मेटा टैग से WordPress संस्करण पढ़ता है (निष्क्रिय)।
2. इसकी तुलना wp2shell श्रृंखला से प्रभावित संस्करणों से करता है।
3. REST बैच एंडपॉइंट (?rest_route=/batch/v1) पर एक एकल सौम्य जाँच भेजता है, यह देखने के लिए कि REST बैच रूट सुलभ है या नहीं।
4. एक-पंक्ति का निर्णय प्रिंट करता है।

इसे तीव्र फ्लीट ट्राइएज के लिए डिज़ाइन किया गया है: मेरी कौन सी साइटें प्रभावित संस्करण पर हैं जिनमें REST सुलभ है?

यह क्या नहीं करता

• यह SQL इंजेक्शन पेलोड नहीं भेजता या रूट-कन्फ्यूज़न बग को ट्रिगर नहीं करता।
• यह एक्सप्लॉइटेबिलिटी की पुष्टि नहीं करता। रूट प्रोब केवल यह बताता है कि बैच रूट पंजीकृत है और इनपुट मान्य कर रहा है — जो कि REST API सक्षम होने पर लगभग किसी भी डिफ़ॉल्ट इंस्टॉल के लिए सही है (बैच एंडपॉइंट WordPress 5.6 से कोर में है)। संस्करण जाँच ही मुख्य संकेत है।
• यह एक पहुँच-क्षमता + संस्करण अनुमान है, प्रूफ-ऑफ-कॉन्सेप्ट नहीं।

कमजोरी (wp2shell)

दो श्रृंखलाबद्ध WordPress कोर दोष, 2026-07-17 पर एक आपातकालीन रिलीज़ के साथ खुलासा:

श्रृंखलाबद्ध होने पर, वे अप्रमाणित हमलावर को डिफ़ॉल्ट इंस्टॉल पर SQL इंजेक्शन तक पहुँचने और रिमोट कोड निष्पादन (RCE) तक बढ़ाने की अनुमति देते हैं — कोई प्लगइन नहीं, कोई लॉगिन नहीं। RCE भाग तभी लागू होता है जब कोई स्थायी ऑब्जेक्ट कैश उपयोग में नहीं है।

समाधान में: 6.8.6 (केवल SQLi), 6.9.5, 7.0.2 (और 7.1 बीटा 2+)। WordPress ने प्रभावित साइटों के लिए जबरन ऑटो-अपडेट सक्षम किया — सुनिश्चित करें कि अपडेट वास्तव में लागू हुआ।

Adam Kues (Assetnote / Searchlight Cyber) द्वारा WordPress के HackerOne कार्यक्रम के माध्यम से रिपोर्ट किया गया।

स्थापना

Python 3.9+ और requests की आवश्यकता है।

# uv के साथ
uv pip install requests

# या सादा pip
pip install requests

उपयोग

python wp2shell.py https://target.example

उदाहरण आउटपुट:

https://target.example: VULNERABLE (RCE) [6.9.3]

आउटपुट की व्याख्या

सीमाएँ

• "VULNERABLE" एक एक्सपोज़र संकेत है, पुष्टि नहीं। इसका अर्थ है प्रभावित संस्करण + REST सुलभ। यह साबित नहीं करता कि उस विशिष्ट होस्ट पर रूट-कन्फ्यूज़न/इंजेक्शन शोषण योग्य है।
• स्थायी ऑब्जेक्ट कैश। RCE के लिए आवश्यक है कि कोई स्थायी ऑब्जेक्ट कैश उपयोग में न हो। एक साइट प्रभावित बैंड में हो सकती है फिर भी RCE-शोषण योग्य नहीं हो सकती - और यह उपकरण दूरस्थ रूप से इसका पता नहीं लगा सकता।
• संस्करण पता लगाना सर्वोत्तम-प्रयास है। generator टैग अक्सर हटा दिया जाता है या नकली बना दिया जाता है; एक अनुपलब्ध संस्करण wordpress not detected देता है, यह गारंटी नहीं कि साइट सुरक्षित है या गैर-WordPress है।
• प्रति रन एकल URL। कोई बैच इनपुट, दर सीमा, या कंसोल लाइन से परे आउटपुट प्रारूप नहीं।

उपचार

1. अपनी शाखा के लिए 6.8.6, 6.9.5, या 7.0.2 (या नए) में अपडेट करें, और पुष्टि करें कि अपडेट लागू हुआ।
2. यदि आप तुरंत पैच नहीं कर सकते, तो अपने WAF पर /wp-json/batch/v1 और ?rest_route=/batch/v1 को ब्लॉक करें, या REST API तक अनाम पहुँच को प्रतिबंधित करें।

अस्वीकरण

जैसा है, केवल अधिकृत सुरक्षा परीक्षण और शैक्षिक उद्देश्यों के लिए प्रदान किया गया है। आप इसके उपयोग के लिए पूरी तरह से जिम्मेदार हैं।

संदर्भ

• WordPress सुरक्षा रिलीज़, 6.9.5 / 7.0.2 (2026-07-17)
• Cloudflare — WordPress कमजोरियों के लिए WAF सुरक्षा
• The Hacker News — wp2shell कवरेज
• ZeroSec (zsec.uk) — wp2shell कोड-ट्रेस गहराई से अध्ययन