CVE-2026-63030-wp2r00t

Uma variante totalmente armada de red-team (segurança ofensiva) do wp2shell, construída para testes de penetração autorizados e fins educacionais.

Conteúdo do Repositório

• poc.py - CLI principal da prova de conceito (modos check, read, shell)
• val.py - Validador passivo leve de vulnerabilidade (val.py <target>)
• MITIGATIONS.md - Guia abrangente de mitigações e endurecimento
• LETHALITY.html - Matriz visual de letalidade de capacidades (heatmap + kill chain)
• LICENSE - Licença MIT
• r00t.py:redacted - Orquestrador principal do implante (integra tudo)
• modules/ - Módulos de implante pós-exploração

Módulos:

• exploit.py - Lógica central de exploração (primitiva SQLi + RCE)
• privesc.py:redacted - Verificações de escalonamento local de privilégios (DirtyCOW, sudo, capabilities, etc.)
• lpe_byond.py:redacted - LPE avançado usando técnicas BYOVD + eBPF (controlado por operador)
• recon.py:redacted - Perfilamento e enumeração do host
• persistence.py:redacted - Mecanismos de persistência (systemd, cron, chaves SSH)
• c2.py:redacted - Beacon C2 criptografado (HTTPS + DoH)
• exfil.py:redacted - Coleta de credenciais e exfiltração de dados
• stealth.py:redacted - Anti-análise, detecção de sandbox e ofuscação

Versões Afetadas

Consulte os lançamentos oficiais de segurança do WordPress para obter detalhes.

1. Mecânica da Vulnerabilidade

O endpoint de batch despacha várias sub-requisições em uma única chamada, validando e verificando permissões de cada uma de forma independente. Quando o caminho de uma sub-requisição falha no wp_parse_url(), ele é adicionado ao array de validação, mas não ao array de handlers correspondentes. Os dois arrays ficam dessincronizados, e uma sub-requisição posterior é despachada sob o handler de uma sub-requisição diferente. Isso é a confusão de rota.

Este PoC aninha a primitiva duas vezes:

1. Dessincronização externa. Uma requisição POST /wp/v2/posts que carrega um corpo requests é despachada sob o próprio handler do batch. Tendo sido validada como uma requisição de posts, sua lista interna requests nunca é revalidada contra o schema do batch, então as sub-requisições internas podem usar GET (bypass da allow-list de métodos).
2. Dessincronização interna. Dentro desse batch interno, uma requisição GET /wp/v2/users carregando author_exclude=... é despachada sob posts get_items(). O schema da coleção de usuários não possui o parâmetro author_exclude, então o valor passa pela validação sem alterações. posts get_items() mapeia author_exclude para a query var author__not_in do WP_Query, que builds vulneráveis interpolam no SQL como string bruta.

O sink final é uma injeção SQL cega booleana / baseada em tempo, pré-autenticação:

Um valor de 0) <sql>-- - fecha a lista IN() e acrescenta SQL arbitrário.

2. Modelo de Segurança

O PoC é fail-closed (falha segura). Três portões de execução impedem execução acidental ou fora do escopo. Todos são aplicados em modules/exploit.py; o CLI em poc.py apenas os repassa.

• AuthorizationError é levantado em BatchClient._ensure_authorized(), AdminSession._ensure_authorized() e AdminSession._ensure_r00t().
• BatchClient._count() aplica --max-requests antes de o socket ser aberto.
• --r00t é o separador de capacidades: um build distribuído sem ele não pode implantar nem executar um webshell.

Tratamento de credenciais para shell: nome de usuário/senha de administrador resolvidos a partir de --user / --password, ou variáveis de ambiente / um arquivo seguro.

3. Instalação

Requisitos: Python 3.11+, apenas biblioteca padrão (sem dependências pip).

4. CLI

Flags comuns (todos os subcomandos):

Comandos Disponíveis

• check - Confirmar a vulnerabilidade (não destrutivo)
• read - Extração SQL cega
• shell - Auxiliar de webshell pós-autenticação (requer --r00t)
• validate - Identificador passivo

Referência Rápida

A documentação completa dos comandos está disponível nas seções detalhadas originais (ou execute python3 poc.py --help).

5. Arquitetura e OPSEC

• Atraso aleatório entre requisições (jitter) e valores de SLEEP variados por amostra neutralizam análises comportamentais de WAF/NDR com cadência/delta fixos.
• A concorrência padrão é 1 (estritamente sequencial).
• Os comandos trafegam no corpo do POST, não na URL.
• Slug, token e marcador de saída do webshell aleatorizados por sessão.

Os módulos de pós-exploração (recon, privesc, exfil, persistence, stealth, c2, lpe_byond) e o r00t.py formam uma cadeia de implante separada que não faz parte do PoC voltado para a rede e é deliberadamente excluída dos builds compartilhados. Eles estão fora do escopo deste documento.

6. Licença

Este projeto está licenciado sob a Licença MIT. Consulte LICENSE para obter detalhes.

Aviso legal: Use somente em sistemas que você possua ou para os quais tenha autorização explícita para testar. Os autores não assumem nenhuma responsabilidade por uso indevido.