wp2shell_scanner

हाल की WordPress कोर भेद्यताओं के लिए गैर-आक्रामक डिटेक्शन स्कैनर — जिसमें wp2shell प्री-ऑथेंटिकेशन RCE श्रृंखला भी शामिल है।

wp2shell_scanner.py किसी WordPress साइट के कोर संस्करण का फ़िंगरप्रिंट लेता है और उसकी सार्वजनिक रूप से विज्ञापित REST API सतह को पढ़ता है, फिर प्रत्येक ट्रैक किए गए कोर CVE को पहचाने गए संस्करण के विरुद्ध स्वतंत्र रूप से वर्गीकृत करता है। निर्णय ब्रांच-जागरूक होते हैं — उदा. एक 6.8.x साइट को SQL-इंजेक्शन CVE के प्रति एक्सपोज़्ड सही ढंग से रिपोर्ट किया जाता है, लेकिन पूर्ण RCE श्रृंखला के प्रति नहीं। यह केवल डिटेक्ट करता है: कोई एक्सप्लॉइट पेलोड कभी नहीं भेजा जाता। एकल फ़ाइल, एक निर्भरता (requests), CI-अनुकूल एग्ज़िट कोड, और क्लाइंट-रेडी HTML / JSON / ई-मेल रिपोर्ट।

⚠️ केवल अधिकृत उपयोग। केवल उन साइटों को स्कैन करें जो आपकी हैं या जिनके परीक्षण के लिए आप स्पष्ट रूप से (लिखित रूप में) अधिकृत हैं। स्कैनर एक पहचान योग्य User-Agent भेजता है ताकि ब्लू टीमें ट्रैफ़िक का स्रोत पहचान सकें — यह छिपता नहीं है।

ट्रैक की गई भेद्यताएँ (WordPress कोर)

wp2shell RCE श्रृंखला = CVE-2026-63030 + CVE-2026-60137 एक साथ → डिफ़ॉल्ट इंस्टॉल पर प्री-ऑथ रिमोट कोड एक्सीक्यूशन। स्कैनर श्रृंखला को केवल तभी एक्सपोज़्ड रिपोर्ट करता है जब दोनों CVE पहचाने गए संस्करण के लिए भेद्य के रूप में वर्गीकृत हों।

ब्रांच की बारीकियाँ जिन्हें स्कैनर सही पकड़ता है:

• 6.8.x में केवल SQL इंजेक्शन (CVE-2026-60137) है — RCE श्रृंखला नहीं।
• 6.9 ब्रांच पर, CVE-2026-3906 (Notes) 6.9.2 में ठीक हो जाता है, लेकिन wp2shell श्रृंखला 6.9.5 तक बंद नहीं होती। इसलिए 6.9.2/6.9.4 Notes बग के लिए पैच्ड पढ़े जाते हैं फिर भी RCE श्रृंखला के लिए भेद्य बने रहते हैं — इसलिए स्कैनर उस ब्रांच पर केवल 6.9.5 या बाद के संस्करण की अनुशंसा करता है, कभी 6.9.4 की नहीं।

परिचालन रूप से महत्वपूर्ण: wp2shell के लिए तकनीकी विवरण और एक कार्यशील PoC पहले से ही सार्वजनिक हैं। संस्करण पहचान अब पूर्ण न्यूनतम है — प्राथमिकता पैचिंग है। अपडेट करने से भेद्य पथ बंद होता है लेकिन पैच से पहले लगाया गया बैकडोर नहीं हटता — इसलिए रिपोर्ट में समझौता-आकलन (compromise assessment) चरण शामिल है।

दायरा

यह एक कोर-संस्करण स्कैनर है। प्लगइन और थीम CVE — WPScan / Patchstack कैटलॉग का बड़ा हिस्सा — के लिए लाइव, क्यूरेटेड फ़ीड और प्रति-प्लगइन संस्करण गणना की आवश्यकता होती है, और ये जानबूझकर यहाँ दायरे से बाहर हैं। अपनी सीमा (हाल के WordPress कोर CVE) के भीतर, यह किसी व्यावसायिक भेद्यता डेटाबेस की नकल करने के बजाय सटीक और ब्रांच-सटीक होने का लक्ष्य रखता है।

स्कैनर क्या करता है

• चार सार्वजनिक संस्करण वेक्टरों पर निष्क्रिय (passive) WordPress फ़िंगरप्रिंटिंग:
  • होमपेज पर <meta name="generator">
  • /readme.html
  • RSS / Atom फ़ीड <generator> टैग
  • /wp-links-opml.php (OPML)
• वेक्टरों का क्रॉस-चेक। यदि वे संस्करण पर असहमत हैं, या कोई प्री-रिलीज़ बिल्ड (beta/RC/alpha) दिखाई देता है, तो निर्णय UNKNOWN कर दिया जाता है — स्कैनर कभी भी परस्पर विरोधी साक्ष्य से संभावित रूप से ग़लत Patched रिपोर्ट नहीं करता।
• REST API सतह खोज — /wp-json/ पढ़ता है कि WordPress अपने REST इंडेक्स में batch/v1 नेमस्पेस विज्ञापित करता है या नहीं। यह पुष्टि करता है कि नेमस्पेस पंजीकृत है, नहीं कि एंडपॉइंट WAF के माध्यम से पहुँच योग्य है। कोई बैच अनुरोध और कोई पेलोड नहीं भेजा जाता।
• प्रति-CVE निर्णय — पहचाना गया संस्करण प्रत्येक ट्रैक किए गए CVE के विरुद्ध स्वतंत्र रूप से वर्गीकृत किया जाता है (ब्रांच-जागरूक), साथ ही आउटपुट:
  • एक क्लाइंट-रेडी HTML रिपोर्ट (प्रिंट → PDF),
  • एक JSON रिकॉर्ड (पाइपलाइन/EAV-अनुकूल),
  • एक ड्राफ्ट अधिसूचना ई-मेल।

यह स्पष्ट रूप से क्या नहीं करता

यह किसी भी चीज़ का शोषण नहीं करता। कोई SQL-इंजेक्शन पेलोड नहीं, कोई बैच-रूट-कन्फ्यूज़न अनुरोध नहीं, कोड निष्पादित करने या डेटा पढ़ने का कोई प्रयास नहीं। पहचान संस्करण-आधारित है और साथ ही सार्वजनिक रूप से विज्ञापित API सतह का एक निष्क्रिय पठन है।

इंस्टॉलेशन

pip install requests

उपयोग

# single target
python3 wp2shell_scanner.py -t https://site.example --authorized

# list of targets (one per line, # comments allowed)
python3 wp2shell_scanner.py -T scope.txt --authorized -o ./reports

# preview the output formats with synthetic data — no network, no auth needed
python3 wp2shell_scanner.py --demo -o ./reports

फ़्लैग्स

--authorized फ़्लैग एक स्पष्ट प्राधिकरण गेट है — इसके बिना लाइव स्कैन चलने से इनकार कर देते हैं।

एग्ज़िट कोड (CI-अनुकूल)

कॉन्फ़िगरेशन

अधिसूचना ई-मेल प्राप्तकर्ता स्क्रिप्ट के शीर्ष के पास CSSLTD_CONTACT स्थिरांक है (डिफ़ॉल्ट [email protected])। इसे अपने स्वयं के इनटेक पते पर संपादित करें।

निर्णय

उदाहरण आउटपुट

examples/ निर्देशिका में एक काल्पनिक भेद्य होस्ट (example.com, WordPress 6.9.1 — तीनों ट्रैक किए गए CVE के प्रति एक्सपोज़्ड) के लिए सिंथेटिक (--demo) आउटपुट है:

• wp2shell_report_example.com.html — क्लाइंट-रेडी HTML रिपोर्ट
• wp2shell_example.com.json — JSON रिकॉर्ड
• wp2shell_email_example.com.txt — ड्राफ्ट अधिसूचना ई-मेल

ये रिपोर्ट प्रारूप को दर्शाने के लिए निर्मित डेटा से उत्पन्न किए गए हैं। ये किसी वास्तविक साइट को स्कैन करने का परिणाम नहीं हैं।

निवारण (जैसा रिपोर्ट में दिया गया है)

1. पहले एक सत्यापित बैकअप लें (DB + पूर्ण फ़ाइल ट्री)।
2. WordPress कोर को ऐसी रिलीज़ में अपडेट करें जो हर ट्रैक किए गए CVE को समाप्त करे — 6.8.6 / 6.9.5 / 7.0.2 — या मेल खाती ब्रांच पर बाद का संस्करण। (6.9 पर, केवल 6.9.5+ समाप्त करता है — 6.9.4 में अभी भी wp2shell श्रृंखला है।)
3. पुष्टि करें कि साइट और एडमिन अभी भी काम करते हैं।
4. यदि होस्ट भेद्य अवस्था में एक्सपोज़्ड था तो समझौता मान लें — थीम, प्लगइन, uploads/, wp-config.php, wp-cron और एडमिन खातों पर समझौता-आकलन चलाएँ; ज्ञात-अच्छे कोर के विरुद्ध फ़ाइल-अखंडता जाँच चलाएँ।
5. किनारे पर रक्षा-गहराई (defence-in-depth) जोड़ें (WAF नियम, /wp-json/batch/v1 प्रतिबंधित करें)।
6. यदि समझौते का संदेह है तो रहस्य घुमाएँ (auth salts, एडमिन/DB पासवर्ड, API कुंजियाँ)।
7. पुष्टि करने के लिए पुनः स्कैन करें कि निर्णय अब Patched पढ़ा जाता है।

संदर्भ

• WordPress GitHub Security Advisory — wp2shell RCE श्रृंखला (GHSA-ff9f-jf42-662q)
• WordPress GitHub Security Advisory — author__not_in SQLi (GHSA-fpp7-x2x2-2mjf)
• WordPress GitHub Security Advisory — Notes REST API (GHSA-6x83-fcf5-r65g)
• NVD — CVE-2026-63030 · NVD — CVE-2026-3906
• Rapid7 — ETR: CVE-2026-63030 wp2shell
• VulnCheck — WP2Shell (CVE-2026-63030 & CVE-2026-60137)
• WordPress रिलीज़ (सुरक्षित लक्ष्य: 6.8.6 / 6.9.5 / 7.0.2)

अस्वीकरण

यह उपकरण केवल अधिकृत सुरक्षा परीक्षण के लिए है। यह सुनिश्चित करना आपकी ज़िम्मेदारी है कि आपके पास किसी भी लक्ष्य को स्कैन करने की अनुमति है। अनधिकृत स्कैनिंग अवैध हो सकती है। लेखक दुरुपयोग के लिए कोई दायित्व स्वीकार नहीं करते।