CVE-2026-63030 - WordPress REST API バッチルート混乱 PoC

説明

CVE-2026-63030の概念実証エクスプロイトです。これはWordPress（バージョン6.9.0〜7.0.1）における認証前の脆弱性です。以下のチェーンを利用します：

• REST API バッチルート混乱（検証とディスパッチの不一致）
• author_exclude パラメータによるSQLインジェクション
• oEmbedキャッシュポイズニング + Customizer変更セットによる権限昇格
• 管理者ユーザーの作成
• リモートコマンド実行のためのプラグインアップロード

要件

• Python 3.10+
• 対象: 公開済みの投稿/ページが少なくとも1件ある WordPress 6.9.0 – 7.0.1
• 外部依存関係なし（標準ライブラリのみ）

使い方

python3 cve_2026_63030_exp.py --url http://target-wordpress.com/ --command "whoami"

オプション

Argument	Description
--url	対象WordPressのルートURL（必須）
--username	作成する管理者ユーザー名（省略時は自動生成）
--password	管理者パスワード（省略時は自動生成）
--email	管理者メールアドレス（省略時は自動生成）
--command, -c	プラグイン経由で実行するコマンド（デフォルト: id）
--post-id	公開済み投稿IDを指定（省略時は自動検出）
--timeout	HTTPタイムアウト秒数（デフォルト: 60）

例

# Auto-exploit with random admin credentials and run 'id'
python3 exploit.py --url http://192.168.1.100/wordpress/

# Custom admin and command
python3 exploit.py --url https://vuln-site.com/ --username backdoor --password 'H4ckMe!' --command 'ls -la /var/www/html'

動作の仕組み（概要）

1. SQLi – 悪意のある author_exclude パラメータを含む細工されたバッチリクエストを送信し、ルート混乱を悪用してUNIONクエリを実行します。
2. 権限昇格 – oEmbedキャッシュを汚染し、REST API経由でCustomizerエンドポイントを使って新しい管理者ユーザーを作成します。
3. RCE – 新しい管理者としてログインし、shell_exec() でシステムコマンドを実行する最小限のプラグインをアップロードします。
4. 出力 – コマンドの実行結果を標準出力に表示します。

免責事項

これはコンセプト実証（PoC）のみを目的としています。
使用目的は以下に限定されます：

• セキュリティ研究
• 許可を得たペネトレーションテスト
• ローカルラボ環境

所有していないシステム、または明示的な書面によるテスト許可がないシステムに対しては使用しないでください。作者は誤用について一切の責任を負いません。

注意事項

• このエクスプロイトは実行後に管理者ユーザーやプラグインをクリーンアップしません。手動で処理してください。
• 対象にWAFや強化された wp-config.php がある場合、SQLiは失敗する可能性があります。
• 最良の結果を得るには、対象の設定で DISALLOW_FILE_MODS と DISALLOW_UNFILTERED_HTML を無効にしてください。