📖 Panoramica della Vulnerabilità: CVE-2026-63030

CVE-2026-63030 è una vulnerabilità critica e non autenticata che colpisce la REST API di WordPress. Sfrutta un bug di route-confusion all'interno dell'endpoint di elaborazione batch annidata (/wp-json/batch/v1 o /?rest_route=/batch/v1).

La Causa Principale

Quando WordPress elabora un batch di richieste REST API, valida ogni sotto-richiesta rispetto al suo schema specifico prima dell'esecuzione. Tuttavia, a causa di un difetto nel modo in cui il puntatore di routing interno gestisce percorsi deliberatamente malformati (ad es. ///), lo schema di validazione si desincronizza dall'handler di esecuzione effettivo.

La Catena di Attacco

1. Route Confusion e SQLi: Un attaccante inietta un payload batch annidato. La desincronizzazione fa sì che una richiesta destinata all'endpoint /wp/v2/users (che non accetta author_exclude) venga eseguita dall'handler di /wp/v2/posts. Il parametro author_exclude non sanificato viene passato direttamente nella clausola author__not_in di WP_Query, risultando in una SQL Injection non autenticata.
2. Creazione Admin Pre-Autenticazione: La SQLi viene utilizzata per leggere il database e identificare gli ID dei post oembed_cache. L'exploit utilizza quindi un payload changeset del Customizer per avvelenare la cache del menu di navigazione, ingannando WordPress e facendogli eseguire una richiesta di creazione utente nel contesto di un amministratore esistente.
3. Esecuzione Remota di Codice (RCE): Con un account amministratore appena forgiato, lo strumento si autentica, carica un plugin webshell PHP randomizzato e protetto da token, esegue comandi del sistema operativo e rimuove in modo sicuro tutte le tracce.

Versioni Interessate

• WordPress 6.9.0 fino a 6.9.4
• WordPress 7.0.0 fino a 7.0.1 (Nota: le versioni precedenti potrebbero essere vulnerabili a seconda delle configurazioni specifiche dei plugin e dei backport della REST API).

🚀 Funzionalità

• Zero Dipendenze: Libreria standard Python 3 al 100%. Nessun pip install richiesto.
• File Singolo Modulare: Tutti i componenti (Client, SQLi, Exploit, Shell, CLI) sono organizzati in modo ordinato in un unico script portabile (exploit.py).
• Estrazione SQL Multi-Tecnica: Passa automaticamente ai metodi più veloci disponibili:
  1. Basata su UNION: Estrazione in-band forgiando una riga WP_Post fittizia (1 richiesta per valore).
  2. Basata su Errori: Sfrutta gli errori XPATH di EXTRACTVALUE() se WP_DEBUG_DISPLAY è abilitato.
  3. Blind Boolean/Timing: Estrazione di caratteri tramite ricerca binaria con ritardi di sleep configurabili.
• Bridge Pre-Auth Automatico: Nessuna necessità di credenziali esistenti; lo strumento crea al volo il proprio account amministratore.
• Webshell Effimera: Genera uno slug plugin univoco e un token crittograficamente sicuro. La shell rifiuta di eseguire senza il token e si autodistrugge dopo l'uso.
• Pulizia Automatica: Elimina automaticamente l'account amministratore forgiato e rimuove la directory del plugin webshell all'uscita.
• REPL Interattivo: Fornisce uno pseudo-terminale che mantiene lo stato della directory di lavoro remota (supporto cd).

📦 Installazione e Requisiti

Non sono richiesti pacchetti di terze parti. Assicurati di avere installato Python 3.8 o superiore.

💻 Utilizzo Dettagliato e Opzioni

L'exploit è diviso in tre sotto-comandi principali: check, read e shell.

Opzioni Globali

Queste opzioni si applicano a tutti i sotto-comandi:

1. check - Rilevamento della Vulnerabilità

Sonda in modo sicuro il target per confermare la presenza dei marcatori di route-confusion e testa i tempi della SQLi senza estrarre dati.

2. read - Estrazione dal Database

Estrae i dati direttamente dal database tramite l'iniezione SQL.

3. shell - Esecuzione Remota di Codice

Distribuisce la webshell ed esegue i comandi. Se non vengono fornite credenziali, attiva automaticamente il bridge di creazione dell'admin in pre-autenticazione.

🖥️ Prove di Esecuzione ed Esempi

Di seguito alcuni esempi reali dello strumento in azione.

Esempio 1: Verifica della Vulnerabilità

Esempio 2: Estrazione dell'Impronta del Database

Esempio 3: Estrazione delle Credenziali Utente

Esempio 4: Ottenere una Shell Interattiva (Pre-Auth)

Nota come lo strumento crei automaticamente un account admin, distribuisca la shell e ripulisca tutto dopo l'uscita.

🧠 Approfondimento Tecnico

Il Primer della Desincronizzazione

Il cuore dell'exploit si basa sull'iniezione di _DESYNC_PRIMER = {"method": "POST", "path": "///"}. Questo URL non valido costringe il routing interno di WordPress a generare un WP_Error per la prima sotto-richiesta. Ciò sposta il puntatore interno, facendo sì che la seconda sotto-richiesta venga validata rispetto a uno schema ma eseguita dall'handler della terza sotto-richiesta. In questo modo il parametro author_exclude viene introdotto di nascosto nella WP_Query.

La Primitiva UNION Fake-Post

Invece della lenta SQLi blind, lo strumento usa una UNION SELECT per iniettare una riga wp_posts fittizia e completamente formata. Impostando orderby=none e per_page=500, impedisce a WP_Query di suddividere la query. Il post_title iniettato contiene il risultato codificato in hex dell'espressione SQL target, racchiuso tra delimitatori ||, che viene riflesso direttamente nella risposta JSON della REST API.

OpSec della Webshell

Il plugin PHP distribuito è progettato per un'elevata furtività:

• Directory e nome file randomizzati (es. wp_a1b2c3d4.php).
• Richiede un token hex di 32 caratteri (t) e un comando (c) tramite parametri GET.
• Usa hash_equals() per prevenire attacchi di timing sul token.
• Cambia automaticamente directory (chdir) per prevenire la divulgazione del percorso.
• L'output è racchiuso tra marcatori EXPLOIT::...::END per un parsing pulito da parte del client Python.

🛡️ Mitigazione e Rimedio

1. Aggiorna WordPress: Aggiorna immediatamente a WordPress 7.0.2 o successivo, che include la patch per CVE-2026-63030.
2. Disabilita l'Endpoint Batch: Se l'endpoint batch non è esplicitamente richiesto, disabilitalo tramite un must-use plugin (mu-plugins):
   root@kitploit:~

   add_filter( 'rest_request_before_callbacks', function( $response, $handler, $request ) {
       if ( $request->get_route() === '/batch/v1' ) {
           return new WP_Error( 'rest_disabled', 'Batch endpoint disabled', array( 'status' => 403 ) );
       }
       return $response;
   }, 10, 3 );
   

3. Web Application Firewall (WAF): Implementa regole per bloccare:
   • Richieste /batch/v1 annidate contenenti author_exclude nell'URI.
   • Richieste contenenti UNION, SLEEP() o EXTRACTVALUE nei parametri URL.
   • Percorsi malformati come /// nelle richieste REST API.
4. Disabilita WP_DEBUG_DISPLAY: Assicurati che WP_DEBUG_DISPLAY sia impostato su false in wp-config.php per prevenire la divulgazione di SQLi basata su errori.

📜 Crediti e Riconoscimenti

• Ricerca sulla Vulnerabilità e Sviluppo dell'Exploit: Ch4120N
• Ispirazione del Concetto: route confusion della REST API di WordPress, avvelenamento della cache oEmbed e primitive changeset del Customizer.

"Da grandi poteri derivano grandi responsabilità. Usa questa conoscenza per difendere, non per distruggere."
— Ch4120N