L'iniezione SQL: Due chiamate batch annidate sfruttano questo comportamento. La batch esterna bypassa la allow-list dei metodi (che normalmente blocca GET). La batch interna consegna una stringa scalare author_exclude a GET /wp/v2/posts: la desincronizzazione la instrada oltre la validazione, e WP_Query interpola la stringa non sanificata direttamente nell'SQL, producendo un'iniezione blind basata su UNION.

Avvelenamento della cache: L'SQLi restituisce oggetti WP_Post falsificati, che WordPress mette in cache in memoria. Questi post fittizi contengono shortcode [embed] che inducono WordPress a creare righe reali oembed_cache nel database a partire dai riferimenti falsificati.

Escalation tramite changeset: Usando l'SQLi, l'attaccante falsifica in memoria un post customize_changeset con "user_id": 1 nel suo JSON. Un gadget di rilevamento dei cicli attiva wp_update_post() senza sovrascrivere post_content, preservando il payload dell'attaccante. Applicando il changeset si assume temporaneamente l'identità dell'amministratore.

Re-entry tramite hook: Un post fabbricato con stato parse e tipo request attiva l'hook parse_request, riproducendo l'intera richiesta batch con il ruolo admin assunto. Questa volta, una sotto-richiesta POST /wp/v2/users ha successo, creando un nuovo account amministratore.

Esecuzione di codice: L'attaccante accede come admin appena creato e carica un plugin malevolo per eseguire comandi arbitrari.

Versioni interessate

Utilizzo

Per usare questo PoC, l'unico requisito è Python 3.8+.

Eseguilo dalla directory del repository per effettuare un controllo della vulnerabilità:

Modalità di controllo (predefinita)

Esegue un singolo controllo della vulnerabilità. Invia una sonda benigna con marcatore batch che rileva il bug di route confusion senza eseguire payload SQLi. Un target vulnerabile restituisce HTTP 207 con il pattern di errore parse_path_failed, block_cannot_read e rest_batch_not_allowed.

Usa --confirm-sqli per inviare anche un payload attivo di conferma SQLi. La conferma tenta prima la riflessione UNION, poi ripiega su sonde basate sul timing.

Controllo di un singolo target (modalità predefinita)

Controllo con modalità esplicita

Controllo con conferma SQLi

Modalità di lettura - Estrai dati tramite iniezione SQL

Estrae dati dal database utilizzando l'iniezione SQL pre-autenticazione. Di default usa --technique auto, che prova i metodi disponibili in questo ordine:

• union - falsifica una riga WP_Post tramite UNION e rilegge il suo titolo dalla risposta REST come ||HEX(value)||. Una richiesta per valore. Il più veloce.
• error - usa EXTRACTVALUE/UPDATEXML per divulgare ~15 byte per richiesta. Funziona quando il target riflette gli errori MySQL (ad es. WP_DEBUG_DISPLAY attivo).
• blind - ricerca binaria booleana, ~8 richieste per carattere. Legge l'header X-WP-Total come segnale vero/falso. Funziona anche quando nessun dato viene riflesso.

Forza una tecnica specifica con --technique union|error|blind. Questi percorsi di lettura sono in sola lettura e non scrivono nel database.

Impronta del server (query predefinita)

Estrai login e hash delle password

Query SQL personalizzata

Forza la tecnica blind

Estrai con la tecnica basata sugli errori

Modalità shell

Esegue comandi sul server di destinazione. Funziona in due modalità:

Con credenziali (accede come admin esistente e carica la shell del plugin):

Esegui un comando specifico

Shell interattiva

Esegui un singolo comando

Shell interattiva

La webshell del plugin viene caricata con un percorso casuale e un token per esecuzione. La webshell caricata viene rimossa automaticamente. Quando il bridge pre-auth crea un amministratore, l'account generato viene rimosso automaticamente al termine della sessione di shell.

Elenco di tutti i flag:

Riferimenti:

1. https://slcyber.io/research-center/exploit-brokers-pay-500000-for-a-wordpress-rce-i-found-one-with-gpt5-6/
2. https://www.picussecurity.com/resource/blog/cve-2026-63030-and-cve-2026-60137-wp2shell-wordpress-rce-explained

Dichiarazione di non responsabilità

Questo strumento è creato esclusivamente per scopi educativi o di bug bounty. L'uso non autorizzato al di fuori di ambienti controllati è severamente vietato.