攻撃チェーン

核心は「スタック型クエリによるデータベース書き込み」ではなく、以下のとおりです：

1. serve_batch_request_v1() の検証段階とスケジューリング段階で $matches / $validation のインデックスが同期せず、ルート混乱（route confusion） を引き起こします。
2. ずれが生じると、文字列形式の author_exclude が WP_Query の author__not_in に入り、NOT IN (...) に連結されて SQL インジェクション を形成します。
3. UNION SELECT で完全な wp_posts 行を偽造し、oEmbed / Customizer のロジックをトリガーして、現在のユーザーコンテキストを既存の管理者に切り替えます。
4. 管理者として REST のユーザー作成 API を呼び出し、新しい管理者を書き込みます。
5. 管理画面にログインしてプラグインをアップロードし、コマンド実行を実現します。

環境要件

• Python 3.10+（標準ライブラリのみ、サードパーティ依存なし）
• テストする権限がある WordPress インスタンスを対象とすること
• 対象の PHP に実行可能な関数が少なくとも 1 つ残っていること（proc_open / passthru / system / shell_exec / exec / popen のいずれか）
• disable_functions ですべてのコマンド実行関数が無効化されている場合でも、管理者の作成は成功しますが、RCE フェーズは失敗します

ファイル構成

使い方

最小限の使い方（管理者を自動生成し、デフォルトで id を実行）

すべてのパラメータをカスタマイズ

パラメータの説明

想定される出力例

スクリプトは終了後に以下を試みます：

1. 今回作成した管理者を削除します
2. 一時プラグインディレクトリを削除します

途中で失敗した場合は、出力に含まれるアカウントとパスワードを使用して手動でクリーンアップしてください。

注意事項

1. 認可された環境のみ：認可されていないシステムには使用しないでください。
2. ターゲットの制限：スクリプトはデフォルトでパブリック IP リテラルのターゲットを拒否し、プライベート / ループバック / リンクローカルアドレス、またはドメイン形式のターゲットのみを許可します。
3. PHP の堅牢化：has been disabled for security reasons が表示された場合、disable_functions によって対応する関数が無効化されていることを意味します。PoC は複数の実行方法を順番に試します。すべて無効化されている場合、RCE は利用できませんが、管理者作成フェーズは成功する可能性があります。
4. サイトのコンテンツ：oEmbed キャッシュのシード用に、公開済みの投稿またはページが少なくとも 1 件必要です。
5. 冪等性とクリーンアップ：実行のたびに新しい管理者と一時プラグインが作成され、成功パスでは自動的にクリーンアップされます。失敗した場合は、wp-admin/users.php と wp-content/plugins/ を手動で確認してください。

修正の推奨事項

• 公式の修正済みバージョンにアップグレードする（WordPress のセキュリティアナウンスに準拠）
• パッチが利用できない場合は、/batch/v1 への未認証アクセスを一時的に制限する
• 本番環境では disable_functions と最小権限の Web ユーザー設定を維持し、RCE の影響を低減する

Disclaimer

本リポジトリ内のコードは、セキュリティ研究および認可された脆弱性の再現にのみ使用されます。利用者は、現地の法令および対象システムの認可範囲を遵守することを自己の責任で確認する必要があります。作者は、いかなる悪用行為に対しても責任を負いません。