English | فارسی

🛡️ Abdal CVE-2026-60137 PoC エクスプロイト

Abdal CVE-2026-60137 は、WP_Query における author__not_in パラメータの不十分なサニタイズ（CVE-2026-60137 として追跡）に対する防御用 WordPress 露出検証ツールです。この脆弱性は、信頼できない入力が影響を受けるパラメータに到達した場合に SQL インジェクションを許容する可能性があります。影響を受ける WordPress 6.9 および 7.0 リリースでは、wp2shell リモートコード実行パスの一部として CVE-2026-63030 と連鎖させる可能性があります。

このツールは、管理者および権限を持つセキュリティチームが、破壊的なデータベースペイロードによる SQL インジェクションの証明を試みることなく、影響を受ける可能性のある WordPress バージョンと不審な REST バッチエンドポイントの露出を特定するのに役立ちます。

🎯 このツールが作成された理由

バージョン検出とエンドポイントの挙動は、多数の WordPress インストールにわたって迅速な防御トリアージを提供できます。この検証ツールは、それらのシグナルを明確な判定にまとめ、管理者がパッチ適用とフォローアップ調査を優先できるようにします。

⚠️ 影響を受けるバージョンと修正済みバージョン

WordPress ブランチ	影響を受けるバージョン	修正済みバージョン
6.8.x	6.8.0 から 6.8.5	6.8.6 以降
6.9.x	6.9.0 から 6.9.4	6.9.5 以降
7.0.x	7.0.0 から 7.0.1	7.0.2 以降

WordPress 6.8.x の場合、公開されている問題は SQL インジェクションの容易化に関するものです。CVE-2026-63030 を含む完全な wp2shell チェーンは、影響を受ける 6.9.x および 7.0.x ブランチに適用されます。

✨ 機能

• 単一の URL または複数の URL を含むファイルをスキャンします。
• 効率的な一括検証のために並行ワーカーを使用します。
• 公開されている場合に WordPress バージョンを検出します。
• 防御的な露出シグナルとして /wp-json/batch/v1 と /?rest_route=/batch/v1 の両方をチェックします。
• 設定可能なワーカー数、HTTP タイムアウト、User-Agent、TLS 検証をサポートします。
• より安全な運用のためにレスポンスボディの読み取りとリダイレクト深度を制限します。
• バージョン、エンドポイント、HTTP 状態、経過時間、詳細を含むターゲットごとの色付き結果を表示します。
• 各スキャン後に分類されたサマリーを出力します。
• アプリケーションを再起動せずに別のスキャンを開始できます。
• 該当する場合、結果を VULNERABLE、AFFECTED、AFFECTED-WAF、PATCHED、NOT-AFFECTED、UNKNOWN、NOT-WORDPRESS、INVALID、または ERROR に分類します。

🚀 使用方法

実行可能ファイルを実行します:

次に、対話型プロンプトに従います:

1. 単一のターゲットまたはターゲットを含むテキストファイルを選択します。
2. URL またはファイルパスを入力します。
3. ワーカー数、タイムアウト、User-Agent、TLS 検証を設定します。
4. ターゲットごとの判定と最終サマリーを確認します。
5. 別のスキャンを開始するか終了するかを選択します。

ターゲットファイルの例:

https://wordpress.example
https://blog.example

所有しているシステム、または明示的に評価を許可されたシステムのみをスキャンしてください。

🧭 結果の解釈

判定	意味
VULNERABLE	検出されたバージョンと観測された露出シグナルが、ツールの影響を受けるプロファイルと強く一致します。
AFFECTED	検出されたバージョンは公開された影響範囲内ですが、エンドポイントの証拠が不完全です。
AFFECTED-WAF	バージョンは影響を受けているように見えますが、WAF またはアクセス制御が検証を妨げている可能性があります。
PATCHED	検出された WordPress バージョンにベンダーの修正が含まれています。
NOT-AFFECTED	検出されたバージョンは公開された影響範囲外です。
UNKNOWN	利用可能な証拠が信頼できる分類には不十分です。
NOT-WORDPRESS	ターゲット上で WordPress を特定できませんでした。
INVALID	指定されたターゲットが有効な URL または入力ではありません。
ERROR	ネットワーク、TLS、タイムアウト、または HTTP 処理エラーにより検証が妨げられました。

[!IMPORTANT] この判定はヒューリスティックな露出評価です。SQL インジェクションが成功したことや、ターゲットが侵害されたことの単独の証明ではありません。

🔧 修復手順

• WordPress 6.8.x を 6.8.6 以降 に更新します。
• WordPress 6.9.x を 6.9.5 以降 に更新します。
• WordPress 7.0.x を 7.0.2 以降 に更新します。
• 自動更新が完了したと想定せず、更新後にインストールされたバージョンを確認します。
• WP_Query、特に author__not_in パラメータに信頼できないデータを渡すカスタムプラグインとテーマを確認します。
• REST API およびデータベースのエラーログ、ファイル整合性、管理アカウント、予期しないスケジュールタスクを確認します。
• 影響を受ける 6.9.x および 7.0.x システムで CVE-2026-63030 にパッチを適用し、公開された wp2shell チェーンを断ち切ります。
• WAF 保護は多層防御として扱い、ベンダーパッチの代わりとはしないでください。

⚖️ 免責事項

このソフトウェアは、合法的な防御的セキュリティテスト、資産所有者の検証、教育、および許可された研究のみを目的として提供されます。システムをスキャンする前に許可を取得し、適用されるすべての法律、契約、ポリシーを遵守する責任は利用者にあります。

このソフトウェアとその結果は、正確性、可用性、特定目的への適合性、誤検知および誤検知の不存在についての保証や保証なしに、現状のまま 提供されます。プログラマーおよび貢献者は、このプロジェクトの使用から生じる誤用、サービス中断、データ損失、セキュリティインシデント、または直接的・間接的な損害について責任を負いません。

🔗 参照

• WordPress セキュリティアドバイザリ GHSA-fpp7-x2x2-2mjf
• WordPress 7.0.2 セキュリティリリース
• NVD: CVE-2026-60137

🐛 問題の報告

問題が発生した場合や設定に関する問題がある場合は、[email protected] までメールでご連絡ください。GitLab または GitHub で問題を報告することもできます。

❤️ 寄付

このプロジェクトが役に立ち、さらなる開発を支援したい場合は、寄付をご検討ください:

• ここから寄付

🤵 プログラマー

Ebrahim Shafiei (EbraSha) によって情熱を込めて手作りされました

• E-Mail: [email protected]
• Telegram: @ProfShafiei
• GitHub: ebrasha

📜 ライセンス

このプロジェクトは AGPLv3 ライセンスの下でライセンスされています。