wp2shell

Esecuzione remota di codice pre-autenticazione contro il core di WordPress.

Combina CVE-2026-60137 (SQLi nel parametro author__not_in / author_exclude di WP_Query) con CVE-2026-63030 (confusione batch-route dell'API REST) per RCE non autenticata.

Versioni interessate

Utilizzo

python3 poc.py -u TARGET_URL
python3 poc.py -u TARGET_URL --sql "SELECT user_pass FROM wp_users LIMIT 1"
python3 poc.py -u TARGET_URL -c "id"

Modalità

Come funziona

1. Confusione batch-route — sfrutta l'API batch (/batch/v1) per desincronizzare la gestione delle richieste e bypassare l'autenticazione
2. SQLi cieca basata sul tempo — inietta nel parametro author_exclude tramite l'oracolo temporale SLEEP()
3. Corruzione della cache oEmbed — crea voci di cache oEmbed contraffatte tramite iniezione UNION
4. Iniezione di changeset del Customizer — ridefinisce le voci di cache come un changeset con paternità amministrativa
5. Creazione account amministratore — pubblica il changeset e crea un nuovo utente amministratore
6. Caricamento plugin — accede come nuovo amministratore, carica un plugin che registra un endpoint REST API per i comandi
7. Esecuzione comandi — invia il comando tramite l'endpoint REST del plugin, restituisce l'output e si autodistrugge

Flusso di attacco

Vulnerability check → Seed oEmbed posts → Extract table name (blind SQLi)
→ Extract admin ID (blind SQLi) → Extract cache post IDs (blind SQLi)
→ Inject poisoned changeset via batch → Create admin user
→ Login → Upload command plugin → Execute command → Cleanup

Crediti

• CVE-2026-60137 — SQLi in author__not_in: scoperta da TF1T, dtro, haongo
• CVE-2026-63030 — Confusione batch-route: scoperta da Adam Kues (Assetnote / Searchlight Cyber)
• Implementazione del PoC: sergiointel/wp2shell-poc