PoC: WP2Shell — CVE-2026-63030 & CVE-2026-60137

📌 अवलोकन (Overview)

WP2Shell WordPress Core स्रोत कोड में गंभीर कमज़ोरियों की एक श्रृंखला (Exploit Chain) है, जो दूरस्थ बिना प्रमाणीकरण वाले हमलावर (Unauthenticated Remote Attacker) को सर्वर पर पूर्ण नियंत्रण (Full Server Takeover / RCE) प्राप्त करने की अनुमति देती है।

यह श्रृंखला दो सुरक्षा कमज़ोरियों को जोड़ती है:

1. CVE-2026-63030 (REST API बैच रूट कन्फ्यूज़न): WordPress REST API बैच हैंडलर में एंडपॉइंट रिज़ॉल्यूशन विरोध, जो अनुरोध को एक रूट पर प्रमाणित किए जाने लेकिन दूसरे रूट पर निष्पादित किए जाने की अनुमति देता है, जिससे एक्सेस नियंत्रण जाँच तंत्र (Authentication / Route Validation Bypass) बायपास हो जाता है।
2. CVE-2026-60137 (WP_Query में SQL इंजेक्शन): WP_Query में author__not_in पैरामीटर के लिए इनपुट फ़िल्टरिंग (Sanitization) की कमी के कारण SQL Injection होता है।

जब इन दोनों कमज़ोरियों को जोड़ा जाता है, तो हमलावर /wp-json/batch/v1 पर एक विशेष रूप से तैयार HTTP अनुरोध भेज सकता है, प्रमाणीकरण तंत्र को बायपास कर सकता है और SQLi को ट्रिगर करके विशेषाधिकार वृद्धि, शेल निर्माण और दूरस्थ रूप से मनमाना कोड निष्पादन (RCE) कर सकता है।

📊 कमज़ोरी विवरण (Vulnerability Details)

🎬 प्रूफ-ऑफ-कॉन्सेप्ट वीडियो डेमो (PoC वीडियो)

वास्तविक पुनरुत्पादन और शोषण की पूरी प्रक्रिया को रिकॉर्ड करने वाला वीडियो Google Drive पर संग्रहीत है:

🔗 PoC वीडियो देखने / डाउनलोड करने का लिंक: Google Drive - WP2Shell PoC वीडियो डेमो

📖 विस्तृत तकनीकी विश्लेषण दस्तावेज़ (Detailed Writeup)

संपूर्ण तकनीकी विश्लेषण प्रवाह, PoC पुनरुत्पादन के सभी चरण और स्रोत कोड की व्याख्या Notion पर संग्रहीत है:

🔗 Notion लेख का लिंक: WP2Shell CVE PoC प्रवाह (Notion Writeup)

⚙️ शोषण श्रृंखला आरेख (Exploitation Flow)

flowchart TD
    A["[Attacker] Unauthenticated Remote Request"] --> B["REST API Batch Endpoint (/wp-json/batch/v1)"]
    B --> C["CVE-2026-63030: Batch Route Confusion\n(Bypass Route Validation & Access Control)"]
    C --> D["CVE-2026-60137: SQL Injection\n(Unsanitized 'author__not_in' in WP_Query)"]
    D --> E["Database Manipulation / Privilege Escalation\n(Admin session / User creation)"]
    E --> F["Web Shell Upload / Execution"]
    F --> G["💥 Full Server Takeover (RCE)"]

🛡️ सुधार एवं रोकथाम के उपाय (Mitigation)

1. तुरंत अपडेट करें: WordPress Core को सुरक्षित संस्करण में अपग्रेड करें:
   • ब्रांच 6.8.x: WordPress 6.8.6 में अपडेट करें
   • ब्रांच 6.9.x: WordPress 6.9.5 में अपडेट करें
   • ब्रांच 7.0.x: WordPress 7.0.2 में अपडेट करें
2. WAF / वेब सर्वर कॉन्फ़िगरेशन:
   • यदि तुरंत अपडेट संभव नहीं है, तो बिना प्रमाणीकरण वाले उपयोगकर्ताओं से /wp-json/batch/v1 एंडपॉइंट पर आने वाले अनुरोधों को अस्थायी रूप से ब्लॉक करें या सख्ती से नियंत्रित करें।
3. सर्वर समीक्षा (फोरेंसिक):
   • /wp-json/batch/v1 पर भेजे गए असामान्य अनुरोधों का पता लगाने के लिए वेब सर्वर लॉग की जाँच करें।
   • वेब शेल या अज्ञात फ़ाइलों का पता लगाने के लिए wp-content/uploads/ और wp-content/plugins/ निर्देशिकाओं को स्कैन करें।

⚠️ अस्वीकरण (Disclaimer)

[!WARNING] यह दस्तावेज़ और PoC स्रोत कोड केवल सुरक्षा अनुसंधान, शिक्षा और सिस्टम सुरक्षा के उद्देश्यों के लिए हैं। लेखक इस रिपॉजिटरी में मौजूद जानकारी या टूल्स के अनधिकृत उपयोग के लिए कोई ज़िम्मेदारी नहीं लेता है, जिनका उपयोग उन सिस्टमों पर हमला करने के लिए किया जाता है जिन पर आपके पास वैध अधिकार नहीं है।