検出器は、ルート混同（route-confusion）とSQLインジェクションのプリミティブを確認した時点で停止する必要があります。影響を受けるインストールが脆弱であることを立証するために、データを抽出したりコマンドを実行したりする必要はありません。

---

## 検出ワークフロー

### フェーズ1 — ターゲットの正規化

このツールは次のことを行います：

1. 欠落している場合は、既定の`http`または`https`スキームを追加します。
2. WordPressインストールパスを正規化します。
3. サポートされていないURLスキームと埋め込まれた資格情報を拒否します。
4. リダイレクト、プロキシ、TLS、タイムアウトの各ポリシーを適用します。

### フェーズ2 — WordPressの識別

スキャナは以下をチェックします：

- `wp-content/`への参照。
- `wp-includes/`への参照。
- WordPressジェネレーターメタデータ。
- REST APIディスカバリーリンク。
- WordPress RESTインデックス構造。
- `wp/v2`名前空間。
- オプションのフィードおよび`readme.html`フィンガープリント。

### フェーズ3 — バージョンの特定

バージョンの証拠は以下から得られます：

- HTMLジェネレーターメタデータ。
- フィードジェネレーターメタデータ。
- WordPressコアアセットのクエリ文字列。
- HTTPジェネレーターヘッダー。
- `readme.html`。
- ローカルの`wp-includes/version.php`ファイル。

証拠はスコアリングされ、調整されます。競合するリモートバージョン指標は信頼度を下げます。

### フェーズ4 — バッチルートの露出確認

スキャナは、以下を通じて`/batch/v1`の発見を試みます：```text
/?rest_route=/
/wp-json/

### フェーズ5 — 安全なルート混乱プローブ

この安全なプローブには次のものが含まれています：

1. 意図的に不正な形式にした内部パス。
2. 無害なネストされたパブリック`GET`を伴う、無効な投稿IDへのリクエスト。
3. それに続く`/batch/v1`リクエスト。

脆弱なサーバーは、無効な投稿リクエストがネストされたバッチリクエストとして処理される、外側の`207 Multi-Status`レスポンスを返します。

検出器は次のように報告します：```text
route-confusion-observed

The validator must:

- Accept the expected outer HTTP `207`.
- Parse both the outer and nested batch envelopes.
- Verify the malformed-request markers.
- Ensure the SQLi-bearing nested request returned a valid response.
- Collect multiple true and false samples.
- Randomize or interleave sample order.
- Compare medians rather than a single request.
- Report insufficient measurements as `inconclusive`.

A repeatable gap between true and false samples confirms that attacker-controlled input reached SQL evaluation. No database contents need to be selected or extracted.

---

## Requirements

- Python 3.9 or later.
- No third-party Python packages are required by the supplied script.
- Network access to the authorized WordPress installation.
- For local testing:
  - A disposable WordPress 7.0.1 or 6.9.4 lab.
  - A database container or dedicated test database.
  - The web service bound to `127.0.0.1`.
  - No production credentials or data.

Check Python:

バリデーターは以下を行う必要があります：

- 期待される外側のHTTP `207`を受け入れること。
- 外側とネストされたバッチエンベロープの両方を解析すること。
- 不正なリクエストマーカーを検証すること。
- SQLiを含むネストされたリクエストが有効なレスポンスを返したことを確認すること。
- 複数のtrueおよびfalseサンプルを収集すること。
- サンプル順序をランダム化またはインターリーブすること。
- 単一のリクエストではなく中央値を比較すること。
- 不十分な測定を`inconclusive`として報告すること。

trueとfalseのサンプル間の再現可能なギャップは、攻撃者が制御する入力がSQL評価に到達したことを裏付けます。データベースの内容を選択または抽出する必要はありません。

---

## 要件

- Python 3.9以降。
- 提供されるスクリプトにはサードパーティのPythonパッケージは不要です。
- 許可されたWordPressインストールへのネットワークアクセス。
- ローカルテストの場合：
  - 使い捨てのWordPress 7.0.1または6.9.4ラボ。
  - データベースコンテナまたは専用のテストデータベース。
  - `127.0.0.1`にバインドされたWebサービス。
  - 本番環境の認証情報やデータは使用しません。

Pythonを確認：```bash
python3 --version

---
## インストール

同梱されているスクリプトを予測可能なファイル名に変更してください：```bash
mv 'poc(1).py' WP2Shell_CVE-2026-63030_POC.py
chmod +x WP2Shell_CVE-2026-63030_POC.py

バージョンを表示:```bash
python3 WP2Shell_CVE-2026-63030_POC.py --version

### 現在のビルド状況

| コマンド | ステータス |
|---|---|
| `local` | 実装済み |
| `remote` | CLIは定義されていますが、`run_remote()` は現在スタブであり、エラーを返します |
| `exploit` | 状態を変更する機能を含みます。使い捨てのローカルラボに制限し、防御的スキャニングから分離してください |

ソースは現在、`remote` について次のように出力します:```text
Remote scanning not fully implemented in this snippet. Use 'local' or 'exploit'.

そして `$wp_version` を抽出します。

## 基本的な使い方```bash
python3 WP2Shell_CVE-2026-63030_POC.py local \
  --wordpress-root /var/www/html

## DockerベースのWordPressインストール

WordPressコンテナの名前が`wordpress`の場合、ソースツリーをホストにコピーまたはマウントするか、コンテナ内でバージョンチェックを実行します:```bash
docker compose exec wordpress php -r \
  'require "/var/www/html/wp-includes/version.php"; echo $wp_version, PHP_EOL;'

ブラウザで `http://127.0.0.1:8080` にアクセスして初回のWordPressセットアップが完了したら、次を実行できます:```bash
python3 WP2Shell_CVE-2026-63030_POC.py remote \
  --authorized \
  --target http://127.0.0.1:8080 \
  --active-probe \
  --format json

## ローカルコマンドオプション

| オプション | 説明 |
|---|---|
| `--wordpress-root PATH` | `wp-includes/version.php` を含む必須ディレクトリ |
| `-f, --format` | `table`、`json`、`jsonl`、または `csv` |
| `-o, --output FILE` | レポートをファイルに書き込む |
| `--fail-on` | 終了コードポリシー: `never`、`vulnerable`、または `unknown` |

## 脆弱性バージョン出力の例```json
[
  {
    "selected_version": "7.0.1",
    "version_assessment": "affected-wp2shell",
    "verdict": "CONFIRMED_AFFECTED_VERSION",
    "severity": "critical"
  }
]

## 複数の明示的ターゲット```bash
python3 WP2Shell_CVE-2026-63030_POC.py remote \
  --authorized \
  --target https://site-one.example \
  --target https://site-two.example \
  --active-probe

期待されるインターフェース:```bash
python3 WP2Shell_CVE-2026-63030_POC.py remote \
  --authorized \
  --targets-file targets.txt \
  --active-probe \
  --format jsonl \
  --output results.jsonl

## プロキシの使用```bash
python3 WP2Shell_CVE-2026-63030_POC.py remote \
  --authorized \
  --target https://wordpress.example \
  --active-probe \
  --proxy http://127.0.0.1:8081

| Option | 目的 |
|---|---|
| `-u, --target URL` | 対象URL; 繰り返し指定可能 |
| `-l, --targets-file FILE` | 1行に1ターゲット; 繰り返し指定可能 |
| `--stdin` | stdin からターゲットを読み取る |
| `--authorized` | 認可済みであることの確認を必須にする |
| `--default-scheme` | 省略時に適用されるスキーム |
| `-c, --concurrency` | 同時に実行するターゲットワーカー数 |
| `--rate` | 合計リクエストレート |
| `--timeout` | リクエストごとのタイムアウト |
| `--retries` | 再試行回数 |
| `--max-targets` | 受け入れるターゲットの最大数 |
| `--max-body-bytes` | 保持するレスポンスボディの最大バイト数 |
| `-k, --insecure` | TLS 検証を無効化 |
| `--no-redirects` | リダイレクトを無効化 |
| `--allow-cross-host-redirects` | 別ホストへのリダイレクトを許可 |
| `--proxy` | HTTP/HTTPS プロキシ |
| `-H, --header` | カスタムヘッダー; 繰り返し指定可能 |
| `--user-agent` | User-Agent を上書き |
| `--fingerprint-level` | `quick`、`standard`、または `extended` |
| `--active-probe` | 安全なルート混乱プローブを送信 |
| `--rest-endpoint` | `query`、`pretty`、または `both` |
| `--include-request-log` | URL、ステータス、タイミングのメタデータを追加 |
| `-f, --format` | `table`、`json`、`jsonl`、または `csv` |
| `-o, --output` | 出力をファイルに書き込む |
| `--fail-on` | 終了コードポリシー |

---

# 安全なランタイム検証

両方のプリミティブを非破壊的にローカル検証するには、専用のバリデーターを使用します:

- ループバック以外のホストを拒否する。
- まずルート混乱を確認する。
- ルート混乱が成功した後でのみ、一定条件のタイミングサンプルを実行する。
- データの抽出やコマンドの実行を行わない。

ワークフロー例:```bash
python3 wp2shell_local_validator.py check \
  --authorized \
  --target http://127.0.0.1:8080 \
  --sqli \
  --delay 2 \
  --samples 4 \
  --warmups 2 \
  --debug \
  --dump-dir evidence \
  --output result.json

期待される判定:```text
FULL_VULNERABILITY_PRIMITIVES_CONFIRMED

### JSON

証拠と統合に最適：```bash
--format json --output result.json

### CSV

スプレッドシートやレポートに最適:```bash
--format csv --output results.csv

---

## 脆弱バージョンと修正バージョンの差分テスト

強力な検証では、2つのクリーンな環境を比較します。

### 脆弱な環境```text
WordPress 7.0.1

### 固定環境```text
WordPress 7.0.2

WordPressのバージョンを変更するときは、常にWordPressボリュームを再作成してください。ボリュームを再利用すると、古い、または自動更新されたコアファイルが保持される可能性があります。```bash
docker compose down -v
docker compose pull
docker compose up -d

追加の防御措置：

1. 匿名のバッチリクエスト、不正な内部URL、ネストされたバッチ構造、異常な`author_exclude`値をログで確認する。
2. 外部に露出した期間があれば、管理者アカウント、プラグインの変更、予期しないPHPファイル、データベースアクセスを確認する。
3. WordPress Coreのチェックサムを検証し、侵害が疑われる場合は既知の正常なバックアップから復元する。
4. SQLインジェクションの悪用が発生した可能性がある場合は、WordPressデータベースに保存されているシークレットと認証情報をローテーションする。

エンドポイントのブロックは一時的な緩和策であり、WordPress Coreの更新に代わるものではない。

---

## 検出のアイデア

潜在的な指標には以下が含まれます：

- いずれかのバッチエンドポイント形式への匿名`POST`リクエスト。
- ネストされた`responses`配列を含むHTTP `207`レスポンス。
- バッチリクエストボディ内の不正な内部URL。
- 別のバッチメンバー内にネストされた`requests`オブジェクト。
- スカラーまたはSQL形式の`author_exclude`値。
- 高速レスポンスと遅延レスポンスが交互に発生する、繰り返されるペアのリクエスト。
- 予期しないWordPress管理者の作成。
- 予期しないプラグインのインストールまたは有効化。
- 書き込み可能なWordPressディレクトリ配下の新しいPHPファイル。
- 異常な`author__not_in`式を含むデータベースクエリ。

---


## 提供スクリプトの既知の制限事項

- Cookie処理は、永続的なブラウザセッションと同等ではない。
- 一部のコードパスでは、データベースのテーブルプレフィックスが前提とされている。
- データベースの`FILE`権限とファイルシステムパスは、デプロイ環境によって異なる。
- `INTO OUTFILE`は通常制限されており、既存のファイルを上書きすることはできない。
- WordPressは`DISALLOW_FILE_MODS`によってプラグインのインストールを無効化することがある。
- タイミングのしきい値は、プロキシ、WAF、PHPタイムアウト、データベースタイムアウト、負荷の影響を受ける可能性がある。
- バージョン文字列は、非表示、偽装、キャッシュ、または不整合になる可能性がある。
- 影響を受けるバージョンが観測されても、セキュリティバックポートがないことの証明にはならない。
- タイミングシグナルが欠落していても、サーバーがパッチ適用済みであることの証明にはならない。

---

## 参照

- WordPress 7.0.2 セキュリティリリース：  
  https://wordpress.org/news/2026/07/wordpress-7-0-2-release/

- WordPress 7.0.2 ドキュメントと変更ファイル：  
  https://wordpress.org/documentation/wordpress-version/version-7-0-2/

- NVD — CVE-2026-63030：  
  https://nvd.nist.gov/vuln/detail/CVE-2026-63030

- NVD — CVE-2026-60137：  
  https://nvd.nist.gov/vuln/detail/CVE-2026-60137

- WordPress リリースアーカイブ：  
  https://wordpress.org/download/releases/

---

## 法的および倫理的な使用

以下の場合にのみこのプロジェクトを使用してください：

- システムを所有している場合、または
- 明示的な書面による許可を得ている場合、かつ
- 要求されたテスト活動が合意された範囲内である場合。

意図的に脆弱なWordPressインストールを公開インターネットにさらさないでください。使い捨ての認証情報、合成データ、隔離されたネットワーク、クリーンなスナップショットを使用してください。テスト後はラボを破棄またはリセットしてください。

脆弱性の最も安全な証明は、問題を実証するために必要な最小限のエビデンスです：```text
Affected version
        +
Route-confusion behavior
        +
Repeatable constant-condition SQL timing oracle