Детектор должен остановиться после подтверждения примитивов route-confusion и SQL-инъекции. Ему не нужно извлекать данные или выполнять команды, чтобы установить, что скомпрометированная установка уязвима.

---

## Процесс обнаружения

### Этап 1 — Нормализация цели

Инструмент:

1. Добавляет схему по умолчанию `http` или `https`, если она отсутствует.
2. Нормализует путь установки WordPress.
3. Отклоняет неподдерживаемые схемы URL и встроенные учётные данные.
4. Применяет политики перенаправлений, прокси, TLS и тайм-аутов.

### Этап 2 — Идентификация WordPress

Сканер проверяет:

- ссылки на `wp-content/`;
- ссылки на `wp-includes/`;
- метаданные генератора WordPress;
- ссылки обнаружения REST API;
- структуру индекса WordPress REST;
- пространство имён `wp/v2`;
- необязательные фид и `readme.html`.

### Этап 3 — Определение версии

Доказательства версии могут поступать из:

- метаданных HTML-генератора;
- метаданных фид-генератора;
- строк запроса основных ресурсов WordPress;
- HTTP-заголовков генератора;
- `readme.html`;
- локального файла `wp-includes/version.php`.

Доказательства оцениваются и сопоставляются. Противоречивые удалённые индикаторы версии снижают достоверность.

### Этап 4 — Проверка доступности пакетного маршрута

Сканер пытается обнаружить `/batch/v1` через:```text
/?rest_route=/
/wp-json/

### Фаза 5 — Безопасный зонд на путаницу маршрутов

Безопасный зонд содержит:

1. Намеренно искажённый внутренний путь.
2. Запрос к недействительному ID поста с безвредным вложенным публичным `GET`.
3. Последующий запрос `/batch/v1`.

Уязвимый сервер возвращает внешний ответ `207 Multi-Status`, в котором запрос к недействительному посту обрабатывается как вложенный пакетный запрос.

Детектор сообщает:```text
route-confusion-observed

Валидатор должен:

- Принимать ожидаемый внешний HTTP `207`.
- Разбирать как внешние, так и вложенные пакетные конверты.
- Проверять маркеры некорректных запросов.
- Убеждаться, что вложенный запрос с SQL-инъекцией вернул допустимый ответ.
- Собирать несколько истинных и ложных образцов.
- Перемешивать или чередовать порядок образцов.
- Сравнивать медианы, а не единичный запрос.
- Сообщать о недостаточных измерениях как `inconclusive`.

Повторяемый разрыв между истинными и ложными образцами подтверждает, что контролируемый атакующим ввод достиг SQL-оценки. Нет необходимости выбирать или извлекать содержимое базы данных.

---

## Требования

- Python 3.9 или новее.
- Для предоставленного скрипта не требуется сторонних Python-пакетов.
- Сетевой доступ к авторизованной установке WordPress.
- Для локального тестирования:
  - Одноразовая лабораторная установка WordPress 7.0.1 или 6.9.4.
  - Контейнер базы данных или выделенная тестовая база данных.
  - Веб-сервис, привязанный к `127.0.0.1`.
  - Без производственных учётных данных или данных.

Проверка Python:```bash
python3 --version

## Установка

Переименуйте предоставленный скрипт в предсказуемое имя файла:```bash
mv 'poc(1).py' WP2Shell_CVE-2026-63030_POC.py
chmod +x WP2Shell_CVE-2026-63030_POC.py

Отобразить версию:```bash
python3 WP2Shell_CVE-2026-63030_POC.py --version

### Текущее состояние сборки

| Команда | Статус |
|---|---|
| `local` | Реализовано |
| `remote` | CLI определён, но `run_remote()` в настоящее время является заглушкой и возвращает ошибку |
| `exploit` | Содержит функциональность, изменяющую состояние; ограничьте использование одноразовой локальной лабораторией и отделите от защитного сканирования |

В настоящее время источник выводит следующее для `remote`:

``````text
Remote scanning not fully implemented in this snippet. Use 'local' or 'exploit'.

и извлекает `$wp_version`.

## Основное использование```bash
python3 WP2Shell_CVE-2026-63030_POC.py local \
  --wordpress-root /var/www/html

## Установка WordPress на основе Docker

Когда контейнер WordPress называется `wordpress`, скопируйте или смонтируйте исходное дерево на хост, или выполните проверку версии внутри контейнера:```bash
docker compose exec wordpress php -r \
  'require "/var/www/html/wp-includes/version.php"; echo $wp_version, PHP_EOL;'

После того, как первоначальная установка WordPress завершится в браузере по адресу `http://127.0.0.1:8080`, вы можете запустить:```bash
python3 WP2Shell_CVE-2026-63030_POC.py remote \
  --authorized \
  --target http://127.0.0.1:8080 \
  --active-probe \
  --format json

## Параметры локальной команды

| Опция | Описание |
|---|---|
| `--wordpress-root PATH` | Обязательная директория, содержащая `wp-includes/version.php` |
| `-f, --format` | `table`, `json`, `jsonl` или `csv` |
| `-o, --output FILE` | Записать отчёт в файл |
| `--fail-on` | Политика кода выхода: `never`, `vulnerable` или `unknown` |

## Пример вывода vulnerable-version```json
[
  {
    "selected_version": "7.0.1",
    "version_assessment": "affected-wp2shell",
    "verdict": "CONFIRMED_AFFECTED_VERSION",
    "severity": "critical"
  }
]

## Несколько явных целей```bash
python3 WP2Shell_CVE-2026-63030_POC.py remote \
  --authorized \
  --target https://site-one.example \
  --target https://site-two.example \
  --active-probe

Ожидаемый интерфейс:```bash
python3 WP2Shell_CVE-2026-63030_POC.py remote \
  --authorized \
  --targets-file targets.txt \
  --active-probe \
  --format jsonl \
  --output results.jsonl

## Использование прокси```bash
python3 WP2Shell_CVE-2026-63030_POC.py remote \
  --authorized \
  --target https://wordpress.example \
  --active-probe \
  --proxy http://127.0.0.1:8081

## Удалённые параметры

| Параметр | Назначение |
|---|---|
| `-u, --target URL` | Целевой URL; повторяемый |
| `-l, --targets-file FILE` | Один целевой объект на строку; повторяемый |
| `--stdin` | Читать цели из stdin |
| `--authorized` | Требуется подтверждение авторизации |
| `--default-scheme` | Схема, применяемая по умолчанию |
| `-c, --concurrency` | Одновременные рабочие процессы |
| `--rate` | Совокупная частота запросов |
| `--timeout` | Таймаут на запрос |
| `--retries` | Количество повторных попыток |
| `--max-targets` | Максимальное количество принимаемых целей |
| `--max-body-bytes` | Максимальный сохраняемый размер тела ответа |
| `-k, --insecure` | Отключить проверку TLS |
| `--no-redirects` | Отключить перенаправления |
| `--allow-cross-host-redirects` | Разрешить перенаправления на другой хост |
| `--proxy` | HTTP/HTTPS прокси |
| `-H, --header` | Пользовательский заголовок; повторяемый |
| `--user-agent` | Переопределить User-Agent |
| `--fingerprint-level` | `quick`, `standard` или `extended` |
| `--active-probe` | Отправить безопасный зонд route-confusion |
| `--rest-endpoint` | `query`, `pretty` или `both` |
| `--include-request-log` | Добавить метаданные URL, статуса и времени |
| `-f, --format` | `table`, `json`, `jsonl` или `csv` |
| `-o, --output` | Записать вывод в файл |
| `--fail-on` | Политика кода выхода |

---

## Безопасная проверка во время выполнения

Для неразрушающей локальной проверки обоих примитивов используйте специальный валидатор, который:

- Отказывается от не-loopback хостов.
- Подтверждает route confusion в первую очередь.
- Запускает образцы времени постоянного состояния только после успешного route confusion.
- Не извлекает данные и не выполняет команды.

Пример рабочего процесса:```bash
python3 wp2shell_local_validator.py check \
  --authorized \
  --target http://127.0.0.1:8080 \
  --sqli \
  --delay 2 \
  --samples 4 \
  --warmups 2 \
  --debug \
  --dump-dir evidence \
  --output result.json

Ожидаемый вердикт:```text
FULL_VULNERABILITY_PRIMITIVES_CONFIRMED

### JSON

Лучше всего подходит для доказательств и интеграции:```bash
--format json --output result.json

### CSV

Лучше всего подходит для электронных таблиц и отчетности:```bash
--format csv --output results.csv

---

## Дифференциальный тест уязвимой и исправленной версий

### Уязвимая среда```text
WordPress 7.0.1

### Фиксированное окружение```text
WordPress 7.0.2

Всегда пересоздавайте том WordPress при смене версий. Повторное использование тома может сохранить старые или автоматически обновленные основные файлы.```bash
docker compose down -v
docker compose pull
docker compose up -d

Дополнительные защитные меры:

1. Проверяйте журналы на наличие анонимных пакетных запросов, некорректных внутренних URL-адресов, вложенных пакетных структур и необычных значений `author_exclude`.
2. После любого периода воздействия проверяйте учетные записи администраторов, изменения плагинов, неожиданные PHP-файлы и доступ к базе данных.
3. Подтверждайте контрольные суммы ядра WordPress и восстанавливайте из заведомо исправной резервной копии, если есть подозрения на компрометацию.
4. Если могла иметь место эксплуатация SQL-инъекции, смените секреты и учетные данные, хранящиеся в базе данных WordPress.

Блокировка конечной точки — временная мера, а не замена обновления ядра WordPress.

---

## Идеи для обнаружения

Потенциальные индикаторы включают:

- Анонимные `POST`-запросы к любой из форм пакетных конечных точек.
- HTTP-ответы `207`, содержащие вложенные массивы `responses`.
- Некорректные внутренние URL-адреса в телах пакетных запросов.
- Вложенные объекты `requests` внутри другого элемента пакета.
- Скалярные или SQL-образные значения `author_exclude`.
- Повторяющиеся парные запросы с чередованием быстрых и задержанных ответов.
- Неожиданное создание администратора WordPress.
- Неожиданная установка или активация плагина.
- Новые PHP-файлы в каталогах WordPress с правом записи.
- Запросы к базе данных, содержащие необычные выражения `author__not_in`.

---


## Известные ограничения в предоставленном скрипте

- Обработка cookie-файлов не эквивалентна постоянной сессии браузера.
- В некоторых путях кода предполагаются префиксы таблиц базы данных.
- Привилегия `FILE` базы данных и пути файловой системы различаются в зависимости от развёртывания.
- `INTO OUTFILE` обычно ограничен и не может перезаписывать существующие файлы.
- WordPress может отключать установку плагинов через `DISALLOW_FILE_MODS`.
- Пороги задержки могут зависеть от прокси, WAF, тайм-аутов PHP, тайм-аутов базы данных и нагрузки.
- Строки версий могут быть скрыты, подделаны, кэшированы или противоречивы.
- Наблюдаемая подверженная версия не доказывает отсутствие бэкпорта безопасности.
- Отсутствие временного сигнала не доказывает, что сервер исправлен.

---

## Ссылки

- Релиз безопасности WordPress 7.0.2:  
  https://wordpress.org/news/2026/07/wordpress-7-0-2-release/

- Документация WordPress 7.0.2 и изменённые файлы:  
  https://wordpress.org/documentation/wordpress-version/version-7-0-2/

- NVD — CVE-2026-63030:  
  https://nvd.nist.gov/vuln/detail/CVE-2026-63030

- NVD — CVE-2026-60137:  
  https://nvd.nist.gov/vuln/detail/CVE-2026-60137

- Архив релизов WordPress:  
  https://wordpress.org/download/releases/

---

## Юридическое и этическое использование

Используйте этот проект только если:

- Вы владеете системой, или
- У вас есть явное письменное разрешение, и
- Запрашиваемая тестовая деятельность соответствует согласованному объёму.

Не выставляйте заведомо уязвимые установки WordPress в открытый Интернет. Используйте одноразовые учётные данные, синтетические данные, изолированные сети и чистые снимки. Уничтожайте или сбрасывайте лабораторию после тестирования.

Наиболее безопасным доказательством уязвимости является минимально необходимые доказательства для демонстрации проблемы:```text
Affected version
        +
Route-confusion behavior
        +
Repeatable constant-condition SQL timing oracle