La SQL injection: Due chiamate batch annidate sfruttano questo comportamento. Il batch esterno aggira la allow-list dei metodi (che normalmente blocca GET). Il batch interno consegna una stringa scalare author_exclude a GET /wp/v2/posts - la desincronizzazione la instrada oltre la validazione, e WP_Query interpola la stringa non sanificata direttamente nell'SQL, producendo una blind injection basata su UNION.

Cache poisoning: La SQLi restituisce oggetti WP_Post falsificati, che WordPress memorizza nella cache in memoria. Questi post falsi contengono shortcode [embed] che inducono WordPress a creare righe reali nel database oembed_cache a partire dai riferimenti falsi.

Changeset escalation: Usando la SQLi, l'attaccante falsifica un post customize_changeset in memoria con "user_id": 1 nel suo JSON. Un gadget di rilevamento dei cicli attiva wp_update_post() senza sovrascrivere post_content, preservando il payload dell'attaccante. L'applicazione del changeset assume temporaneamente l'identità dell'amministratore.

Hook re-entry: Un post fabbricato con stato parse e tipo request attiva l'hook parse_request, riproducendo l'intera richiesta batch con il ruolo admin assunto. Questa volta, una sotto-richiesta POST /wp/v2/users riesce, creando un nuovo account admin.

Esecuzione di codice: L'attaccante effettua il login come admin creato e carica un plugin malevolo per eseguire comandi arbitrari.

Versioni interessate

Utilizzo

Per usare questo PoC, l'unico requisito è Python 3.8+.

Eseguilo dalla directory del repository per effettuare un controllo di vulnerabilità:

Modalità Check (predefinita)

Esegue un singolo controllo di vulnerabilità. Invia una sonda batch benigna che rileva il bug di route confusion senza eseguire payload SQLi. Un target vulnerabile restituisce HTTP 207 con il pattern di errore parse_path_failed, block_cannot_read e rest_batch_not_allowed.

Usa --confirm-sqli per inviare anche un payload attivo di conferma SQLi. La conferma prova prima la riflessione UNION, poi ripiega su sonde basate sul timing.

Controlla singolo target (modalità predefinita)

Controlla con modalità esplicita

Controlla con conferma SQLi

Modalità Read - Estrarre dati tramite SQL Injection

Estrae dati dal database usando la SQL injection pre-autenticazione. Per impostazione predefinita usa --technique auto, che prova i metodi disponibili in questo ordine:

• union - falsifica una riga WP_Post fittizia tramite UNION e ne legge il titolo dalla risposta REST come ||HEX(value)||. Una richiesta per valore. Il più veloce.
• error - usa EXTRACTVALUE/UPDATEXML per estrarre ~15 byte per richiesta. Funziona quando il target riflette gli errori MySQL (ad esempio, WP_DEBUG_DISPLAY attivo).
• blind - ricerca binaria booleana, ~8 richieste per carattere. Legge l'header X-WP-Total come segnale vero/falso. Funziona anche quando nessun dato viene riflesso.

Forza una tecnica specifica con --technique union|error|blind. Questi percorsi di lettura sono di sola lettura e non scrivono nel database.

Fingerprint del server (query predefinita)

Estrai login e hash delle password

Query SQL personalizzata

Forza la tecnica blind

Estrai con la tecnica error-based

Modalità Shell

Esegue comandi sul server target. Funziona in due modalità:

Con credenziali (effettua il login come admin esistente e carica una shell plugin):

Esegui comando specifico

Shell interattiva

Esegui singolo comando

Shell interattiva

La webshell plugin viene caricata con un path casuale e un token per esecuzione. La webshell caricata viene rimossa automaticamente. Quando il bridge pre-auth crea un amministratore, quell'account generato viene rimosso automaticamente al termine della sessione shell.

Elenco completo dei flag:

Riferimenti:

1. https://slcyber.io/research-center/exploit-brokers-pay-500000-for-a-wordpress-rce-i-found-one-with-gpt5-6/
2. https://www.picussecurity.com/resource/blog/cve-2026-63030-and-cve-2026-60137-wp2shell-wordpress-rce-explained

Disclaimer

Questo strumento è creato esclusivamente per scopi educativi o di bug bounty. L'uso non autorizzato al di fuori di ambienti controllati è severamente vietato.