CVE-2026-63030 - WordPress REST API 배치 라우트 혼동 PoC

설명

CVE-2026-63030에 대한 개념 증명(PoC) 익스플로잇입니다. WordPress(버전 6.9.0 ~ 7.0.1)의 사전 인증(pre-authentication) 취약점으로, 다음을 연쇄적으로 사용합니다:

• REST API 배치 라우트 혼동(검증 vs 디스패치 불일치)
• author_exclude 파라미터를 통한 SQL 인젝션
• oEmbed 캐시 중독 + Customizer changeset 권한 상승
• 관리자 사용자 생성
• 원격 명령 실행을 위한 플러그인 업로드

요구 사항

• Python 3.10+
• 대상: 게시된 글/페이지가 하나 이상 있는 WordPress 6.9.0 – 7.0.1
• 외부 의존성 없음(표준 라이브러리만 사용)

사용법

python3 cve_2026_63030_exp.py --url http://target-wordpress.com/ --command "whoami"

옵션

예제

# Auto-exploit with random admin credentials and run 'id'
python3 exploit.py --url http://192.168.1.100/wordpress/

# Custom admin and command
python3 exploit.py --url https://vuln-site.com/ --username backdoor --password 'H4ckMe!' --command 'ls -la /var/www/html'

작동 방식(개요)

1. SQLi – 악의적인 author_exclude 파라미터가 포함된 조작된 배치 요청을 보내 라우트 혼동을 악용하여 UNION 쿼리를 실행합니다.
2. 권한 상승 – oEmbed 캐시를 중독시킨 후 Customizer 엔드포인트를 사용해 REST API로 새 관리자 사용자를 생성합니다.
3. RCE – 새 관리자로 로그인한 후 shell_exec()를 통해 시스템 명령을 실행하는 최소 플러그인을 업로드합니다.
4. 출력 – 명령 결과를 stdout으로 출력합니다.

면책 조항

이것은 개념 증명(PoC)용입니다.
다음과 같은 용도로만 사용해야 합니다:

• 보안 연구
• 승인된 침투 테스트
• 로컬 실험실 환경

소유하지 않았거나 테스트에 대한 명시적인 서면 허가를 받지 않은 시스템에는 사용하지 마십시오. 작성자는 오용에 대한 책임을 지지 않습니다.

참고 사항

• 이 익스플로잇은 실행 후 관리자 사용자나 플러그인을 정리하지 않으므로 수동으로 처리해야 합니다.
• 대상에 WAF가 있거나 wp-config.php가 하드닝된 경우 SQLi가 실패할 수 있습니다.
• 최상의 결과를 얻으려면 대상의 config에서 DISALLOW_FILE_MODS 및 DISALLOW_UNFILTERED_HTML을 비활성화하십시오.