attackercan/wp2shell-poc2CVE-2026-63030
Prova de conceito para uma injeção de SQL não autenticada no núcleo do WordPress que encadeia até execução remota de código, por meio de confusão de rota no lote REST (CVE-2026-63030).
O exploit não exige credenciais nem configuração além de um alvo acessível. Ele alcança a injeção por meio de um único endpoint: POST /wp-json/batch/v1.
A descoberta em si é que a injeção de SQL não autenticada — check a confirma e read demonstra leitura arbitrária do banco de dados. O comando shell é pós-exploração opcional (credenciais de administrador recuperadas → upload de plugin → execução de comandos), incluído para demonstrar o impacto completo; não é a vulnerabilidade.
| Branch | Afetadas | Corrigida em |
|---|
| 6.9.x | 6.9.0 – 6.9.4 | 6.9.5 |
| 7.0.x | 7.0.0 – 7.0.1 | 7.0.2 |
Versões anteriores à 6.9.0 não são afetadas por esta cadeia.
O endpoint REST de lote (/batch/v1) não é autenticado e executa várias sub-requisições em uma única chamada, contando com cada sub-requisição sendo validada e verificada quanto a permissões individualmente.
serve_batch_request_v1() constrói dois arrays paralelos — $matches (o handler correspondente para cada sub-requisição) e $validation (o resultado da validação para cada sub-requisição) — e então indexa ambos pelo mesmo offset ao despachar. Uma sub-requisição cujo caminho falha em wp_parse_url() é acrescentada a $validation, mas não a $matches, fazendo com que os arrays fiquem dessincronizados e uma sub-requisição seja despachada sob o handler de uma sub-requisição diferente. Essa é a confusão de rota.
O PoC aninha a primitiva duas vezes:
POST /wp/v2/posts que carrega um corpo requests é despachada sob o próprio handler do lote. Tendo sido validada como uma requisição de posts, sua lista requests nunca é verificada contra o esquema do lote, então suas sub-requisições podem usar GET — a lista de permissões de métodos é contornada.GET /wp/v2/users carregando uma string author_exclude (o esquema de users não possui esse parâmetro, então o valor passa pela validação intocado) é despachada sob get_items() de posts. Lá, author_exclude é mapeada para a query var author__not_in do WP_Query, que a versão vulnerável interpola no SQL como uma string.O resultado é uma injeção SQL cega baseada em booleano e tempo, acessível antes da autenticação. Com acesso de leitura ao banco de dados, o hash da senha do administrador pode ser recuperado; uma vez quebrado, o acesso de administrador permite execução de código por meio do upload de um plugin.
Python 3.8+ e a biblioteca padrão. Sem dependências de terceiros.
Execute a partir do diretório do repositório:
./wp2shell.py <command> <url> [options]
Ou pip install . para obter um comando wp2shell no seu PATH.
Confirma a explorabilidade com um atraso de tempo diferencial. Não lê nenhum dado e não altera nada.
./wp2shell.py check http://target
./wp2shell.py read http://target # server fingerprint
./wp2shell.py read http://target --preset users # user logins and password hashes
./wp2shell.py read http://target --query "SELECT @@version"
Pós-exploração opcional. Requer credenciais de administrador válidas; a injeção recupera o hash da senha, portanto forneça o texto simples recuperado aqui.
./wp2shell.py shell http://target --user admin --password '<recovered>' --cmd id
./wp2shell.py shell http://target --user admin --password '<recovered>' -i # interactive shell
shell envia um webshell de plugin (protegido por um caminho aleatório e um token por execução) e imprime seu caminho. Remova-o quando terminar.
| Opção | Aplica-se a | Descrição |
|---|---|---|
--rest-route | todos | Use /?rest_route=/batch/v1 (para sites sem permalinks amigáveis). |
--proxy URL | todos | Encaminhe o tráfego por um proxy HTTP (por exemplo, Burp). |
--timeout N | todos | Tempo limite da requisição em segundos. |
--sleep N | check | Atraso usado para confirmar a injeção. |
--preset | read | fingerprint ou users. |
--query | read | Uma expressão SQL escalar para ler. |
--prefix | read | Prefixo da tabela do banco de dados (padrão wp_). |
--max-length N | read | Máximo de caracteres lidos por valor (padrão 128). |
--user / --password | shell | Credenciais de administrador (texto simples, recuperadas do hash). |
--cmd | shell | Comando a executar (omita ao usar -i). |
-i / --interactive | shell | Abra um shell interativo após a implantação. |
Atualize para o WordPress 6.9.5 ou 7.0.2. Até lá, bloqueie tanto /wp-json/batch/v1 quanto o parâmetro de consulta rest_route=/batch/v1 na borda, ou exija autenticação para o endpoint de lote por meio do filtro rest_pre_dispatch.
Apenas para testes de segurança autorizados. Use-o exclusivamente contra sistemas que você possui ou para os quais tenha permissão explícita por escrito para testar. O autor não se responsabiliza por uso indevido.