kulichr/wp2shellChecker non intrusivo per CVE-2026-63030 / CVE-2026-60137 ("wp2shell"), una catena RCE pre-autenticazione nel core di WordPress.
Checker non intrusivo per CVE-2026-63030 / CVE-2026-60137 ("wp2shell"), una catena RCE pre-autenticazione nel core di WordPress (confusione del route batch dell'API REST → SQL injection → RCE).
readme.html, <meta name="generator"> nella homepage, tag generatore in /feed/)./wp-json/batch/v1, ?rest_route=/batch/v1) è raggiungibile — un segnale secondario per capire se è già attiva una mitigazione WAF/API REST.Non invia nessun payload di SQL injection o RCE. L'intera catena di exploit non è stata verificata in modo indipendente qui, e lanciare payload di injection non testati contro siti in produzione può causare danni reali anche quando si sta "solo testando". Consideralo come un triage sicuro e conferma lo stato effettivo con wp core version sull'host o con uno scanner autenticato del vendor.
Esegui questo strumento solo contro sistemi che sei autorizzato a testare.
python3 wp2shell_check.py https://site1.example.com https://site2.example.com
python3 wp2shell_check.py -f targets.txt -o report.csv --workers 8
python3 wp2shell_check.py -f targets.txt --insecure # internal self-signed certs
targets.txt: un URL/hostname per riga, # per i commenti.
Codici di uscita: 2 = trovato vulnerabile, 1 = versione indeterminata per almeno un target, 0 = tutti corretti.
Un 404 sul route batch non significa sempre "corretto" — può anche significare che un WAF/CDN o un plugin di sicurezza sta bloccando l'accesso anonimo all'API REST davanti a un'installazione altrimenti vulnerabile (controlla header/corpo della risposta per identificare il WAF). Solo un aggiornamento a una versione corretta rimuove effettivamente il codice vulnerabile.
Python 3.8+, solo libreria standard (nessuna dipendenza aggiuntiva).