CVE-2026-63030 - Confusão de Rotas no REST API do WordPress - PoC

Descrição

Prova de conceito do exploit para CVE-2026-63030, uma vulnerabilidade de pré-autenticação no WordPress (versões 6.9.0 até 7.0.1). Ela encadeia:

• Confusão de rotas no REST API em lote (incompatibilidade entre validação e despacho)
• Injeção de SQL via parâmetro author_exclude
• Envenenamento de cache oEmbed + escalonamento de privilégio via changeset do Customizer
• Criação de usuário administrador
• Upload de plugin para execução remota de comandos

Requisitos

• Python 3.10+
• Alvo: WordPress 6.9.0 – 7.0.1 com pelo menos um post/página publicado
• Sem dependências externas (apenas biblioteca padrão)

Uso

python3 cve_2026_63030_exp.py --url http://target-wordpress.com/ --command "whoami"

Opções

Exemplo

# Exploração automática com credenciais de administrador aleatórias e executa 'id'
python3 exploit.py --url http://192.168.1.100/wordpress/

# Administrador e comando personalizados
python3 exploit.py --url https://vuln-site.com/ --username backdoor --password 'H4ckMe!' --command 'ls -la /var/www/html'

Como funciona (visão geral)

1. SQLi – Envia uma requisição em lote maliciosa com um parâmetro author_exclude adulterado, explorando a confusão de rotas para executar uma consulta UNION.
2. Escalonamento de privilégio – Envenena o cache oEmbed e, em seguida, usa o endpoint do Customizer para criar um novo usuário administrador via REST API.
3. RCE – Faz login como o novo administrador, envia um plugin mínimo que executa comandos do sistema via shell_exec().
4. Saída – Imprime o resultado do comando no stdout.

Aviso

Isto é apenas uma prova de conceito.
Destina-se a:

• Pesquisa de segurança
• Testes de penetração autorizados
• Ambientes de laboratório locais

Não use contra sistemas que você não possui ou para os quais não tenha permissão explícita por escrito para testar. Os autores não assumem nenhuma responsabilidade por uso indevido.

Notas

• O exploit não remove o usuário administrador nem o plugin após a execução – lide com isso manualmente.
• Se o alvo tiver WAF ou wp-config.php endurecido, a SQLi pode falhar.
• Para melhores resultados, desative DISALLOW_FILE_MODS e DISALLOW_UNFILTERED_HTML na configuração do alvo.