wp2shell

WordPress Core に対する事前認証リモートコード実行。

CVE-2026-60137（WP_Query の author__not_in / author_exclude パラメータにおける SQLi）と CVE-2026-63030（REST API のバッチルート混乱）を連鎖させ、未認証 RCE を実現します。

影響を受けるバージョン

使用方法

python3 poc.py -u TARGET_URL
python3 poc.py -u TARGET_URL --sql "SELECT user_pass FROM wp_users LIMIT 1"
python3 poc.py -u TARGET_URL -c "id"

モード

仕組み

1. バッチルート混乱 — バッチ API（/batch/v1）を悪用してリクエスト処理の同期を崩し、認証をバイパスする
2. 時間ベースのブラインド SQLi — SLEEP() タイミングオラクルを介して author_exclude パラメータに注入する
3. oEmbed キャッシュ破壊 — UNION インジェクションで偽造された oEmbed キャッシュエントリを作成する
4. カスタマイザー changeset 注入 — キャッシュエントリを管理者権限の changeset として作り直す
5. 管理者アカウント作成 — changeset を公開して新しい管理者ユーザーを作成する
6. プラグインアップロード — 新しい管理者としてログインし、REST API コマンドエンドポイントを登録するプラグインをアップロードする
7. コマンド実行 — プラグインの REST エンドポイントを介してコマンドを送信し、出力を返して自己破壊する

攻撃フロー

Vulnerability check → Seed oEmbed posts → Extract table name (blind SQLi)
→ Extract admin ID (blind SQLi) → Extract cache post IDs (blind SQLi)
→ Inject poisoned changeset via batch → Create admin user
→ Login → Upload command plugin → Execute command → Cleanup

クレジット

• CVE-2026-60137 — author__not_in における SQLi：TF1T、dtro、haongo によって発見
• CVE-2026-63030 — バッチルート混乱：Adam Kues（Assetnote / Searchlight Cyber）によって発見
• PoC 実装: sergiointel/wp2shell-poc