CVE-2026-63030 - PoC путаницы маршрутов пакетных запросов REST API в WordPress

Описание

Эксплойт PoC для CVE-2026-63030 — уязвимости предварительной аутентификации в WordPress (версии 6.9.0–7.0.1). Он объединяет:

• Путаницу маршрутов пакетных запросов REST API (несоответствие проверки и диспетчеризации)
• SQL-инъекцию через параметр author_exclude
• Отравление кэша oEmbed + повышение привилегий через changeset Customizer
• Создание пользователя-администратора
• Загрузку плагина для удалённого выполнения команд

Требования

• Python 3.10+
• Цель: WordPress 6.9.0 – 7.0.1 минимум с одной опубликованной записью/страницей
• Нет внешних зависимостей (только стандартная библиотека)

Использование

python3 cve_2026_63030_exp.py --url http://target-wordpress.com/ --command "whoami"

Параметры

Пример

# Auto-exploit with random admin credentials and run 'id'
python3 exploit.py --url http://192.168.1.100/wordpress/

# Custom admin and command
python3 exploit.py --url https://vuln-site.com/ --username backdoor --password 'H4ckMe!' --command 'ls -la /var/www/html'

Как это работает (кратко)

1. SQLi — отправляет специально сформированный пакетный запрос с вредоносным параметром author_exclude, используя путаницу маршрутов для выполнения UNION-запроса.
2. Повышение привилегий — отравляет кэш oEmbed, затем использует endpoint Customizer для создания нового администратора через REST API.
3. RCE — входит как новый администратор, загружает минимальный плагин, выполняющий системные команды через shell_exec().
4. Вывод — выводит результат выполнения команды в stdout.

Отказ от ответственности

Это всего лишь proof-of-concept.
Он предназначен для:

• Исследований безопасности
• Авторизованного тестирования на проникновение
• Локальных лабораторных сред

Не используйте против систем, которыми вы не владеете или на тестирование которых у вас нет явного письменного разрешения. Авторы не несут ответственности за неправомерное использование.

Примечания

• Эксплойт не удаляет созданного администратора или плагин после выполнения — удалите их вручную.
• Если на цели установлен WAF или ужесточён wp-config.php, SQL-инъекция может не сработать.
• Для наилучшего результата отключите DISALLOW_FILE_MODS и DISALLOW_UNFILTERED_HTML в конфигурации цели.