CVE-2026-63030 - PoC per la confusione delle route batch dell'API REST di WordPress

Descrizione

Exploit proof-of-concept per CVE-2026-63030, una vulnerabilità pre-autenticazione in WordPress (versioni da 6.9.0 a 7.0.1). Combina:

• Confusione delle route batch dell'API REST (discrepanza tra validazione e dispatch)
• Iniezione SQL tramite il parametro author_exclude
• Avvelenamento della cache oEmbed + escalation dei privilegi tramite changeset di Customizer
• Creazione di un utente amministratore
• Caricamento di un plugin per l'esecuzione remota di comandi

Requisiti

• Python 3.10+
• Target: WordPress 6.9.0 – 7.0.1 con almeno un post o una pagina pubblicati
• Nessuna dipendenza esterna (solo libreria standard)

Utilizzo

python3 cve_2026_63030_exp.py --url http://target-wordpress.com/ --command "whoami"

Opzioni

Esempio

# Auto-exploit with random admin credentials and run 'id'
python3 exploit.py --url http://192.168.1.100/wordpress/

# Custom admin and command
python3 exploit.py --url https://vuln-site.com/ --username backdoor --password 'H4ckMe!' --command 'ls -la /var/www/html'

Come funziona (a grandi linee)

1. SQLi – Invia una richiesta batch creata ad hoc con un parametro author_exclude malevolo, sfruttando la confusione delle route per eseguire una query UNION.
2. Escalation dei privilegi – Avvelena la cache oEmbed, quindi usa l'endpoint Customizer per creare un nuovo utente admin tramite l'API REST.
3. RCE – Accede come nuovo admin, carica un plugin minimale che esegue comandi di sistema tramite shell_exec().
4. Output – Stampa il risultato del comando su stdout.

Avvertenza

Questo è solo un proof-of-concept.
È pensato per:

• Ricerche sulla sicurezza
• Test di penetrazione autorizzati
• Ambienti di laboratorio locali

Non utilizzarlo contro sistemi che non possiedi o per i quali non hai un'esplicita autorizzazione scritta al test. Gli autori non si assumono alcuna responsabilità per un uso improprio.

Note

• L'exploit non pulisce l'utente admin o il plugin dopo l'esecuzione – gestiscilo manualmente.
• Se il target ha un WAF o un wp-config.php indurito, l'SQLi potrebbe fallire.
• Per ottenere risultati migliori, disabilita DISALLOW_FILE_MODS e DISALLOW_UNFILTERED_HTML nella configurazione del target.