WP2Shell 탐지 및 검증 PoC

CVE 적용 범위: CVE-2026-63030 및 CVE-2026-60137 사용 목적: 승인된 보안 테스트, 방어적 검증, 일회용 localhost 실습 환경 전용

WP2Shell은 사전 인증(pre-authentication) REST API 배치 라우트 혼동 버그(CVE-2026-63030)와 WP_Query의 author__not_in SQL 인젝션 프리미티브(CVE-2026-60137)를 결합한 WordPress Core 취약점 체인입니다. 이 저장소는 방어자가 영향을 받는 WordPress 설치를 식별하고, 격리된 실습 환경에서 취약 동작을 확인하며, 조치 결과를 검증할 수 있도록 Python 기반 PoC 스캐너와 안전한 검증기를 제공합니다. 데이터 추출이나 코드 실행은 필요하지 않습니다.

개요

이 프로젝트는 WordPress 설치를 식별하고 WP2Shell WordPress Core 취약점 체인과 관련된 두 가지 취약점 프리미티브를 검증합니다:

CVE-2026-63030 — REST API 배치 라우트 혼동
CVE-2026-60137 — WP_Query::author__not_in의 불완전한 입력 검증으로, 공격자가 제어하는 입력이 해당 파라미터에 도달할 경우 SQL 인젝션으로 이어질 수 있음

두 조건이 모두 존재하면 인증되지 않은 요청이 WordPress REST API 배치 엔드포인트를 통해 취약한 SQL 구문에 도달할 수 있습니다. 공개 권고에 따르면 이 조합의 영향은 원격 코드 실행으로 이어질 수 있습니다.

이 저장소는 본인이 소유했거나 명시적으로 테스트가 승인된 시스템에서만 사용해야 합니다. 127.0.0.1에 바인딩된 격리된 Docker 또는 가상 머신 실습 환경을 사용하는 것이 좋습니다.

안전 주의사항

현재 소스 파일에는 상태를 변경하는 기능이 포함되어 있습니다. 여기에는 데이터베이스 데이터 추출 시도, 파일 쓰기 시도, 인증 워크플로, 관리자 생성, 플러그인 업로드, 명령 실행이 포함됩니다.

WordPress 핑거프린팅
버전 평가
로컬 소스 트리 버전 확인
안전한 라우트 혼동 검증
격리된 실습 환경에서 비파괴적 타이밍 기반 SQL 인젝션 확인
보고, 증거 수집, 조치 검증

취약점 요약

CVE-2026-63030 — REST API 배치 라우트 혼동

영향을 받는 WordPress 릴리스는 다음 내부 배열 간의 정합성을 잃을 수 있습니다:

파싱된 배치 요청
매칭된 REST 라우트 핸들러
검증 결과

잘못된 형식의 배치 멤버가 한 내부 배열에는 수용되지만 다른 배열에는 수용되지 않으면 이후 요청이 잘못된 핸들러와 연결될 수 있습니다. 따라서 요청이 하나의 라우트로 검증되었지만 다른 라우트의 콜백으로 실행될 수 있습니다.

보안 영향:

REST 요청/핸들러 역동기화
잘못된 라우트 스키마에 대한 검증
예기치 않은 중첩 배치 실행
사전 인증 상태에서 제한된 코드 경로에 도달 가능
CVE-2026-60137과 결합될 경우 SQL 인젝션 및 추가 침해 가능성

CVE-2026-60137 — `author__not_in` SQL 인젝션

영향을 받는 WP_Query 구현은 SQL NOT IN (...) 조건을 구성하기 전에 author__not_in을 일관되게 정규화하지 않습니다.

이 파라미터는 일반적으로 정수 작성자 ID 목록을 기대합니다. 의도된 REST 스키마 검증을 거치지 않고 스칼라 문자열이 취약한 쿼리 구문에 도달하면 안전하지 않은 SQL 구조가 데이터베이스 쿼리에 포함될 수 있습니다.

보안 영향:

블라인드 SQL 인젝션
불리언 또는 타이밍 기반 데이터베이스 오라클
WordPress 데이터베이스 내용 노출 가능성
CVE-2026-63030과 연쇄될 경우 영향 증가

영향을 받는 버전

WordPress는 2026년 7월 17일에 수정 사항을 공개했고, 심각도 때문에 영향을 받는 설치에 강제 자동 업데이트를 적용했습니다.

취약점 워크플로```text

Unauthenticated client | v WordPress REST batch endpoint | v Malformed batch member creates request/handler misalignment | v Later request is validated against one route but dispatched using another route's handler | v Scalar author_exclude reaches WP_Query as author__not_in | v Unsafe value reaches SQL NOT IN (...) construction | v Blind SQL timing or Boolean oracle | v Potential database compromise | v Potential application-level compromise and RCE

The detector should stop after confirming the route-confusion and SQL-injection primitives. It does not need to extract data or execute commands to establish that an affected installation is vulnerable.

---

## 탐지 워크플로우

### 1단계 — 대상 정규화

이 도구는 다음을 수행합니다:

1. 기본 `http` 또는 `https` 스킴이 없으면 추가합니다.
2. WordPress 설치 경로를 정규화합니다.
3. 지원되지 않는 URL 스킴과 포함된 자격 증명을 거부합니다.
4. 리디렉션, 프록시, TLS 및 타임아웃 정책을 적용합니다.

### 2단계 — WordPress 식별

스캐너는 다음을 확인합니다:

- `wp-content/` 참조.
- `wp-includes/` 참조.
- WordPress 생성기 메타데이터.
- REST API 검색 링크.
- WordPress REST 인덱스 구조.
- `wp/v2` 네임스페이스.
- 선택적 피드 및 `readme.html` 지문.

### 3단계 — 버전 판별

버전 증거는 다음에서 얻을 수 있습니다:

- HTML 생성기 메타데이터.
- 피드 생성기 메타데이터.
- WordPress 핵심 에셋 쿼리 문자열.
- HTTP 생성기 헤더.
- `readme.html`.
- 로컬 `wp-includes/version.php` 파일.

증거는 점수가 매겨지고 조정됩니다. 충돌하는 원격 버전 표시기는 신뢰도를 낮춥니다.

### 4단계 — 배치 라우트 노출 확인

스캐너는 다음을 통해 `/batch/v1`을(를) 발견하려고 시도합니다:```text
/?rest_route=/
/wp-json/

경로는 다음 중 하나를 사용하여 지정할 수 있습니다:```text /?rest_route=/batch/v1 /wp-json/batch/v1

### Phase 5 — 안전한 경로 혼동 프로브

안전한 프로브에는 다음이 포함됩니다:

1. 의도적으로 잘못된 형식의 내부 경로.
2. 유효하지 않은 post ID에 대한 요청과 무해한 중첩 공개 `GET`.
3. 이어지는 `/batch/v1` 요청.

취약한 서버는 유효하지 않은 post 요청이 중첩 배치 요청으로 처리되는 외부 `207 Multi-Status` 응답을 반환합니다.

탐지기는 다음을 보고합니다:```text
route-confusion-observed

다음과 같은 경우를 확인합니다:

예상된 parse_path_failed 마커.
상태 코드 207을 가진 두 번째 외부 응답.
무해한 내부 요청이 실행되었음을 보여주는 중첩된 responses 배열.

6단계 — 시간 기반 SQLi 확인

비파괴적 SQLi 검증기는 상수 Boolean 조건에서만 다른 한 쌍의 요청을 보내야 합니다:```text False control -> no deliberate database delay True test -> deliberate database delay

검증기는 다음을 수행해야 합니다:

- 예상 외부 HTTP `207`을 수락합니다.
- 외부 및 중첩 배치 봉투를 모두 구문 분석합니다.
- 잘못된 요청 마커를 확인합니다.
- SQLi를 포함하는 중첩 요청이 유효한 응답을 반환했는지 확인합니다.
- 여러 true 및 false 샘플을 수집합니다.
- 샘플 순서를 무작위화하거나 인터리브합니다.
- 단일 요청이 아닌 중앙값을 비교합니다.
- 불충분한 측정값을 `inconclusive`로 보고합니다.

true 샘플과 false 샘플 사이의 반복 가능한 차이는 공격자가 제어하는 입력이 SQL 평가에 도달했음을 확인합니다. 데이터베이스 내용을 선택하거나 추출할 필요가 없습니다.

---

## 요구 사항

- Python 3.9 이상.
- 제공된 스크립트에는 타사 Python 패키지가 필요하지 않습니다.
- 승인된 WordPress 설치에 대한 네트워크 액세스.
- 로컬 테스트의 경우:
  - 일회용 WordPress 7.0.1 또는 6.9.4 랩.
  - 데이터베이스 컨테이너 또는 전용 테스트 데이터베이스.
  - `127.0.0.1`에 바인딩된 웹 서비스.
  - 프로덕션 자격 증명 또는 데이터 없음.

Python 확인:```bash
python3 --version

선택적 구문 검증:```bash python3 -m py_compile WP2Shell_CVE-2026-63030_POC.py

---

## 설치

제공된 스크립트의 이름을 예측 가능한 파일명으로 바꾸세요:```bash
mv 'poc(1).py' WP2Shell_CVE-2026-63030_POC.py
chmod +x WP2Shell_CVE-2026-63030_POC.py

전역 도움말 표시:```bash python3 WP2Shell_CVE-2026-63030_POC.py --help

버전 표시:```bash
python3 WP2Shell_CVE-2026-63030_POC.py --version

명령어

이 스크립트는 세 가지 명령어를 정의합니다:```text remote Fingerprint and scan HTTP(S) WordPress targets. local Read the installed WordPress version from a source tree. exploit State-changing proof-of-concept path.

### 현재 빌드 상태

| 명령 | 상태 |
|---|---|
| `local` | 구현됨 |
| `remote` | CLI는 정의되어 있지만, `run_remote()`는 현재 스텁(stub)이며 오류를 반환합니다 |
| `exploit` | 상태를 변경하는 기능이 포함되어 있습니다. 일회용 로컬 랩으로 제한하고 방어적 스캐닝과 분리하십시오 |

소스는 현재 `remote`에 대해 다음을 출력합니다:```text
Remote scanning not fully implemented in this snippet. Use 'local' or 'exploit'.

Restore a complete run_remote() 구현을 완성한 후에 대량 원격 스캔이 기능적으로 동작한다고 공지하세요.

로컬 버전 평가

local 명령은 다음을 읽습니다:```text /wp-includes/version.php

및 `$wp_version`을 추출합니다.

## 기본 사용법```bash
python3 WP2Shell_CVE-2026-63030_POC.py local \
  --wordpress-root /var/www/html

JSON 보고서```bash

python3 WP2Shell_CVE-2026-63030_POC.py local
--wordpress-root /var/www/html
--format json
--output local-result.json

## Docker 기반 WordPress 설치

WordPress 컨테이너 이름이 `wordpress`인 경우, 소스 트리를 호스트에 복사하거나 마운트하고, 컨테이너 내부에서 버전 확인을 실행하십시오:```bash
docker compose exec wordpress php -r \
  'require "/var/www/html/wp-includes/version.php"; echo $wp_version, PHP_EOL;'

compose.yaml을 사용한 취약한 랩 구성

제공된 compose.yaml을 사용하여 127.0.0.1:8080에 바인딩된 일회용 로컬 랩을 실행하세요:```bash docker compose up -d

브라우저의 `http://127.0.0.1:8080`에서 최초 WordPress 설정이 완료되면 다음을 실행할 수 있습니다:```bash
python3 WP2Shell_CVE-2026-63030_POC.py remote \
  --authorized \
  --target http://127.0.0.1:8080 \
  --active-probe \
  --format json

실험실을 중지하고 제거하려면:```bash docker compose down -v

## 로컬 명령 옵션

| 옵션 | 설명 |
|---|---|
| `--wordpress-root PATH` | `wp-includes/version.php`를 포함하는 필수 디렉터리 |
| `-f, --format` | `table`, `json`, `jsonl` 또는 `csv` |
| `-o, --output FILE` | 보고서를 파일에 작성합니다 |
| `--fail-on` | 종료 코드 정책: `never`, `vulnerable` 또는 `unknown` |

## 취약한 버전 출력 예시```json
[
  {
    "selected_version": "7.0.1",
    "version_assessment": "affected-wp2shell",
    "verdict": "CONFIRMED_AFFECTED_VERSION",
    "severity": "critical"
  }
]

로컬 버전 결과는 설치된 릴리스가 게시된 영향을 받는 범위에 있음을 확인합니다. 그 자체만으로는 런타임 악용 가능성이나 백포트된 패치의 효과를 입증하지 않습니다.

원격 스캐너 인터페이스

remote 파서는 다음 인수를 지원하지만, 제공된 run_remote() 구현은 현재 불완전합니다.

단일 대상

run_remote() 복원 후 예상되는 인터페이스:```bash python3 WP2Shell_CVE-2026-63030_POC.py remote
--authorized
--target https://wordpress.example
--active-probe

## 여러 명시적 대상```bash
python3 WP2Shell_CVE-2026-63030_POC.py remote \
  --authorized \
  --target https://site-one.example \
  --target https://site-two.example \
  --active-probe

대상 파일

targets.txt 생성:```text https://site-one.example/ https://site-two.example/blog/

예상 인터페이스:```bash
python3 WP2Shell_CVE-2026-63030_POC.py remote \
  --authorized \
  --targets-file targets.txt \
  --active-probe \
  --format jsonl \
  --output results.jsonl

표준 입력```bash

cat targets.txt | python3 WP2Shell_CVE-2026-63030_POC.py remote
--authorized
--stdin

## 프록시 사용법```bash
python3 WP2Shell_CVE-2026-63030_POC.py remote \
  --authorized \
  --target https://wordpress.example \
  --active-probe \
  --proxy http://127.0.0.1:8081

사용자 지정 요청 헤더```bash

python3 WP2Shell_CVE-2026-63030_POC.py remote
--authorized
--target https://wordpress.example
--header 'Authorization: Bearer TEST_TOKEN'

## 원격 옵션

| Option | 용도 |
|---|---|
| `-u, --target URL` | 대상 URL, 반복 가능 |
| `-l, --targets-file FILE` | 한 줄에 대상 하나, 반복 가능 |
| `--stdin` | stdin에서 대상 읽기 |
| `--authorized` | 필수 권한 승인 확인 |
| `--default-scheme` | 생략 시 적용되는 스킴 |
| `-c, --concurrency` | 동시 대상 작업자 수 |
| `--rate` | 총 요청 속도 |
| `--timeout` | 요청별 제한 시간 |
| `--retries` | 재시도 횟수 |
| `--max-targets` | 허용되는 최대 대상 수 |
| `--max-body-bytes` | 유지되는 최대 응답 본문 크기 |
| `-k, --insecure` | TLS 검증 비활성화 |
| `--no-redirects` | 리다이렉션 비활성화 |
| `--allow-cross-host-redirects` | 다른 호스트로의 리다이렉션 허용 |
| `--proxy` | HTTP/HTTPS 프록시 |
| `-H, --header` | 사용자 지정 헤더, 반복 가능 |
| `--user-agent` | User-Agent 덮어쓰기 |
| `--fingerprint-level` | `quick`, `standard` 또는 `extended` |
| `--active-probe` | 안전한 경로 혼동 프로브 전송 |
| `--rest-endpoint` | `query`, `pretty` 또는 `both` |
| `--include-request-log` | URL, 상태 및 타이밍 메타데이터 추가 |
| `-f, --format` | `table`, `json`, `jsonl` 또는 `csv` |
| `-o, --output` | 출력을 파일에 쓰기 |
| `--fail-on` | 종료 코드 정책 |

---

# 안전한 런타임 검증

두 기본 요소를 비파괴적으로 로컬에서 검증하려면 다음을 수행하는 전용 검증기를 사용하세요.

- 루프백이 아닌 호스트를 거부합니다.
- 먼저 경로 혼동을 확인합니다.
- 경로 혼동이 성공한 후에만 상수 조건 타이밍 샘플을 실행합니다.
- 데이터를 추출하거나 명령을 실행하지 않습니다.

예시 워크플로:```bash
python3 wp2shell_local_validator.py check \
  --authorized \
  --target http://127.0.0.1:8080 \
  --sqli \
  --delay 2 \
  --samples 4 \
  --warmups 2 \
  --debug \
  --dump-dir evidence \
  --output result.json

예상되는 취약 랩 타이밍 패턴:```text False controls: approximately 0.03–0.10 seconds True tests: consistently delayed

예상 판정:```text
FULL_VULNERABILITY_PRIMITIVES_CONFIRMED

타이밍 테스트는 지연 표현식을 두 번 이상 실행할 수 있으므로, 구성된 2초 지연이 관측 시 약 4초의 지연으로 나타날 수 있습니다. 중요한 신호는 true 조건과 false 조건 사이의 반복 가능한 차이입니다.

출력 형식

표

대화형 터미널 사용에 가장 적합합니다:```bash --format table

### JSON

증거 및 통합에 가장 적합:```bash
--format json --output result.json

JSON Lines

대규모 대상 세트에 가장 적합합니다:```bash --format jsonl --output results.jsonl

### CSV

스프레드시트 및 보고에 가장 적합:```bash
--format csv --output results.csv

판정

종료 코드

스캐너는 정책 기반 종료 코드를 사용합니다.

코드	의미

따라서 취약점 발견은 의도적으로 0이 아닌 상태를 반환할 수 있습니다.

예시:```bash python3 WP2Shell_CVE-2026-63030_POC.py local
--wordpress-root /var/www/html
--fail-on vulnerable

echo $?

---

## 취약-수정 차등 테스트

강력한 검증은 두 개의 깨끗한 환경을 비교합니다.

### 취약 환경```text
WordPress 7.0.1

예상:```text route-confusion-observed repeatable true/false SQL timing difference

### 고정 환경```text
WordPress 7.0.2

The input chunk is empty—no content was provided for translation.```text route-confusion-not-observed SQLi timing test not reached or no valid timing oracle

버전을 변경할 때는 항상 WordPress 볼륨을 다시 생성하세요. 볼륨을 재사용하면 오래되었거나 자동으로 업데이트된 핵심 파일이 보존될 수 있습니다.```bash
docker compose down -v
docker compose pull
docker compose up -d

Remediation

수정된 릴리스 또는 이후 지원 릴리스 중 하나로 즉시 업데이트하세요:

WordPress 6.8.6.
WordPress 6.9.5.
WordPress 7.0.2.
WordPress 7.1 beta2 이상(사전 릴리스 테스트용).

임시 제어는 두 배치 엔드포인트 형식을 모두 포함해야 합니다:```text /wp-json/batch/v1 /?rest_route=/batch/v1

추가 방어 조치:

1. 익명 배치 요청, 잘못된 형식의 내부 URL, 중첩된 배치 구조, 비정상적인 `author_exclude` 값을 로그에서 검토합니다.
2. 노출 기간 이후의 관리자 계정, 플러그인 변경, 예상치 못한 PHP 파일, 데이터베이스 액세스를 검토합니다.
3. WordPress Core 체크섬을 확인하고 손상이 의심되면 알려진 정상 백업에서 복원합니다.
4. SQL 인젝션 악용이 발생했을 수 있는 경우 WordPress 데이터베이스에 저장된 비밀과 자격 증명을 교체합니다.

엔드포인트 차단은 임시 완화 조치일 뿐이며 WordPress Core 업데이트를 대체하지 않습니다.

---

## 탐지 아이디어

잠재적 지표는 다음과 같습니다:

- 두 배치 엔드포인트 형식 중 하나로 전송된 익명 `POST` 요청.
- 중첩된 `responses` 배열을 포함하는 HTTP `207` 응답.
- 배치 요청 본문의 잘못된 형식의 내부 URL.
- 다른 배치 멤버 내부에 있는 중첩된 `requests` 객체.
- 스칼라 또는 SQL 형태의 `author_exclude` 값.
- 빠른 응답과 지연된 응답이 번갈아 나타나는 반복되는 쌍 요청.
- 예상치 못한 WordPress 관리자 생성.
- 예상치 못한 플러그인 설치 또는 활성화.
- 쓰기 가능한 WordPress 디렉토리 아래의 새 PHP 파일.
- 비정상적인 `author__not_in` 표현식을 포함한 데이터베이스 쿼리.

---


## 제공된 스크립트의 알려진 제한 사항

- 쿠키 처리는 지속적인 브라우저 세션과 동일하지 않습니다.
- 일부 코드 경로에서 데이터베이스 테이블 접두사가 가정됩니다.
- 데이터베이스 `FILE` 권한과 파일 시스템 경로는 배포 환경에 따라 다릅니다.
- `INTO OUTFILE`은 일반적으로 제한되며 기존 파일을 덮어쓸 수 없습니다.
- WordPress는 `DISALLOW_FILE_MODS`를 통해 플러그인 설치를 비활성화할 수 있습니다.
- 타이밍 임계값은 프록시, WAF, PHP 시간 초과, 데이터베이스 시간 초과 및 부하의 영향을 받을 수 있습니다.
- 버전 문자열은 숨겨지거나, 스푸핑되거나, 캐시되거나, 일관되지 않을 수 있습니다.
- 관찰된 영향 버전이 보안 백포트가 없음을 증명하지는 않습니다.
- 타이밍 신호가 없다고 해서 서버가 패치되었음을 증명하지는 않습니다.

---

## 참조

- WordPress 7.0.2 보안 릴리스:  
  https://wordpress.org/news/2026/07/wordpress-7-0-2-release/

- WordPress 7.0.2 문서 및 변경된 파일:  
  https://wordpress.org/documentation/wordpress-version/version-7-0-2/

- NVD — CVE-2026-63030:  
  https://nvd.nist.gov/vuln/detail/CVE-2026-63030

- NVD — CVE-2026-60137:  
  https://nvd.nist.gov/vuln/detail/CVE-2026-60137

- WordPress 릴리스 아카이브:  
  https://wordpress.org/download/releases/

---

## 법적 및 윤리적 사용

다음 경우에만 이 프로젝트를 사용하십시오:

- 시스템을 소유하고 있거나,
- 명시적인 서면 승인을 받았고,
- 요청된 테스트 활동이 합의된 범위 내에 있는 경우.

의도적으로 취약한 WordPress 설치를 공개 인터넷에 노출하지 마십시오. 일회용 자격 증명, 합성 데이터, 격리된 네트워크 및 깨끗한 스냅샷을 사용하십시오. 테스트 후 랩을 파괴하거나 초기화하십시오.

취약점의 가장 안전한 증명은 문제를 입증하는 데 필요한 최소한의 증거입니다:```text
Affected version
        +
Route-confusion behavior
        +
Repeatable constant-condition SQL timing oracle

자격 증명 탈취, 지속성, 웹셸 설치, 명령 실행은 취약점이 존재함을 확인하는 데 필요하지 않습니다.

6.8.x	CVE-2026-60137만 해당: 6.8.0–6.8.5	6.8.6
6.9.x	두 이슈 모두: 6.9.0–6.9.4	6.9.5
7.0.x	두 이슈 모두: 7.0.0–7.0.1	7.0.2
7.1 사전 릴리스	Beta 1 영향	Beta 2
6.8 이전	이 두 CVE의 영향 없음	N/A

`CONFIRMED_VULNERABLE_BEHAVIOR`	런타임 라우트 혼동 동작이 관찰됨
`CONFIRMED_AFFECTED_VERSION`	로컬 소스 버전이 영향을 받는 범위에 있음
`LIKELY_VULNERABLE`	원격 버전 증거가 영향을 받는 릴리스를 나타냄
`VULNERABLE_SQLI_ONLY`	CVE-2026-60137의 영향을 받는 버전이지만 전체 라우트 혼동 범위를 벗어남
`AFFECTED_VERSION_BUT_BEHAVIOR_NOT_OBSERVED`	영향을 받는 버전이 감지되었지만 안전한 런타임 동작이 관찰되지 않음
`PATCHED_VERSION`	버전이 게시된 수정 경계를 충족함
`NOT_AFFECTED`	버전이 영향을 받는 브랜치에 해당하지 않음
`POTENTIALLY_EXPOSED_VERSION_UNKNOWN`	WordPress와 배치 라우트가 발견되었지만 버전이 숨겨져 있음
`WORDPRESS_VERSION_UNKNOWN`	신뢰할 수 있는 버전 증거 없이 WordPress가 감지됨
`ERROR`	대상을 평가할 수 없음
`NOT_WORDPRESS_OR_NOT_DETECTED`	신뢰할 수 있는 WordPress 증거가 없음

`0`	정책을 트리거하는 결과 없음 또는 `--fail-on never`
`2`	기본 정책에서 취약하거나 영향을 받는 결과
`3`	`--fail-on unknown` 선택 시 알 수 없거나 불확정적인 결과
`1`	인수, 입력 또는 불완전한 명령 오류

인기

WP2Shell-CVE-2026-63030-POC

인기