CVE-2026-63030 — WordPress wp2shell Exploit

Инструмент для неаутентифицированного обнаружения и эксплуатации уязвимости batch-confusion в ядре WordPress (CVE-2026-63030 / CVE-2026-60137), которая приводит к SQL-инъекции и удалённому выполнению кода (RCE) через batch-эндпоинт REST API.

⚠️ Только для авторизованного тестирования безопасности и образовательных целей. См. Отказ от ответственности ниже.

Обзор

Уязвимые версии WordPress предоставляют batch-эндпоинт REST API по адресам:

POST /wp-json/batch/v1, или
POST /?rest_route=/batch/v1 (запасной вариант, когда pretty-permalinks / wp-json отключены)

Из-за уязвимости batch confusion вложенные подзапросы внутри тела batch-запроса обрабатываются без надлежащей авторизации, что позволяет неаутентифицированному злоумышленнику внедрить SQL (например, через параметр author_exclude) и в конечном итоге добиться RCE.

Этот репозиторий содержит:

Файл	Назначение
`cve-2026-63030.py`	Python CLI — определение версии, разрешение batch-эндпоинта, подтверждение слепой SQLi на основе SLEEP и извлечение данных через `--query`. Поддерживает массовое сканирование, потоки и прокси.
`cve-2026-63030.yaml`	Шаблон Nuclei — пассивная проверка версии + активное обнаружение SQLi на основе времени для обоих вариантов эндпоинта.

Уязвимые версии

Ветка	Уязвимый диапазон
6.8.x	6.8.0 – 6.8.5
6.9.x	6.9.0 – 6.9.4
7.0.x	7.0.0 – 7.0.1

Исправлено в 6.8.6, 6.9.5 и 7.0.2.

Требования

Python 3.8+
requests
beautifulsoup4

pip install requests beautifulsoup4

Использование

python3 cve-2026-63030.py [options]

Параметры

Флаг	Описание
`-u, --url URL`	Один целевой URL.
`-l, --list FILE`	Файл с целевыми URL (по одному в строке; допускаются комментарии `#`) для массового сканирования.
`-p, --proxy URL`	Направлять запросы через прокси (например, `http://127.0.0.1:8080`).
`-t, --threads N`	Уровень параллелизма для массового режима (по умолчанию `10`).
`-q, --query SQL`	SQL-запрос для эксфильтрации через слепую инъекцию на основе времени, например `"select @@version"`.
`--exploit`	Отправить SLEEP-полезную нагрузку для подтверждения эксплуатации.
`--delay SEC`	Окно SLEEP для слепой SQLi (по умолчанию `2`).
`--timeout SEC`	Тайм-аут на запрос (по умолчанию `10`).
`--silent`	Подавить баннер.

-u/--url и -l/--list взаимоисключающие.

Примеры

# 1. Detect whether a single target is vulnerable (version + batch endpoint)
python3 cve-2026-63030.py -u http://target.tld/

# 2. Route through Burp/ZAP
python3 cve-2026-63030.py -u http://target.tld/ -p http://127.0.0.1:8080

# 3. Confirm exploitation via the SLEEP payload
python3 cve-2026-63030.py -u http://target.tld/ --exploit --delay 5

# 4. Exfiltrate data through time-based blind SQLi
python3 cve-2026-63030.py -u http://target.tld/ -q "select @@version"
python3 cve-2026-63030.py -u http://target.tld/ -q "select user()"

# 5. Bulk scan a list of hosts and extract DB version from each vulnerable one
python3 cve-2026-63030.py -l hosts.txt -t 20 -q "select @@version"

Как это работает

Определение версии — разбирает тег <meta name="generator"> и проверяет его на соответствие затронутым диапазонам.
Определение эндпоинта — сначала пробует /wp-json/batch/v1, а при отсутствии ответа переключается на /?rest_route=/batch/v1.
Подтверждение — --exploit отправляет полезную нагрузку SLEEP(n) и проверяет, что ответ действительно задерживается (duration >= delay).
Извлечение — --query выводит результат по одному символу за раз с помощью бинарного поиска (IF(ASCII(SUBSTRING(...)), SLEEP(n), 0)).

Шаблон Nuclei

# Validate
nuclei -tl -t cve-2026-63030.yaml

# Scan
nuclei -t cve-2026-63030.yaml -l hosts.txt
nuclei -t cve-2026-63030.yaml -u http://target.tld/

Шаблон проверяет оба варианта эндпоинта и подтверждает time-based SQLi через duration >= 5, при условии уязвимой версии WordPress.

Отказ от ответственности

Этот проект предоставляется строго в образовательных целях и для авторизованного тестирования безопасности. Вы можете использовать его только против систем, которыми владеете или на тестирование которых у вас есть явное письменное разрешение (например, в рамках пентеста, программы bug bounty или CTF).

Неавторизованное сканирование или эксплуатация систем, которыми вы не владеете и на тестирование которых не авторизованы, незаконны и могут квалифицироваться как уголовное преступление в соответствии с законами о неправомерном использовании компьютеров (например, CFAA в США, Computer Misuse Act в Великобритании и аналогичными нормами в других странах).

Авторы и участники проекта не несут никакой ответственности за любой ущерб, потерю данных или юридические последствия, возникшие в результате использования или ненадлежащего использования этого программного обеспечения. Используя этот инструмент, вы подтверждаете, что ваше использование законно и что вы принимаете на себя все связанные с этим риски.

Если сомневаетесь — не запускайте.

Ссылки

Автор

0xh7ml — предоставляется как есть, для защитных исследований и обучения.

CVE-2026-63030

Популярное