wp2shell-check

Неинвазивная проверка для CVE-2026-63030 / CVE-2026-60137 («wp2shell»), цепочки pre-authentication RCE в ядре WordPress (конфуз batch-route в REST API → SQL-инъекция → RCE).

• Затронуты: WordPress 6.9.0–6.9.4, 7.0.0–7.0.1, 7.1 beta (полная цепочка RCE); 6.8.0–6.8.5 (только SQL-инъекция, CVE-2026-60137).
• Исправлено в: 6.8.6, 6.9.5, 7.0.2.

Что делает

• Удаленно определяет версию WordPress (readme.html, <meta name="generator"> на главной странице, тег генератора в /feed/).
• Классифицирует каждую цель как уязвимая / исправленная / неизвестная на основе указанных выше диапазонов версий.
• Проверяет, доступен ли уязвимый REST-маршрут (/wp-json/batch/v1, ?rest_route=/batch/v1) — вторичный сигнал о том, что уже применяется WAF/митигация REST API.

Что он НЕ делает

Он не отправляет пейлоады SQL-инъекций или RCE. Полная цепочка эксплойта здесь не была независимо проверена, и отправка непроверенных пейлоадов инъекций на рабочие сайты может нанести реальный ущерб, даже если это «просто тестирование». Воспринимайте это как безопасную триажу, а для подтверждения используйте wp core version на хосте или аутентифицированный сканер вендора.

Запускайте этот инструмент только против систем, которые вам разрешено тестировать.

Использование

python3 wp2shell_check.py https://site1.example.com https://site2.example.com
python3 wp2shell_check.py -f targets.txt -o report.csv --workers 8
python3 wp2shell_check.py -f targets.txt --insecure   # внутренние самоподписанные сертификаты

targets.txt: один URL/хост на строку, # для комментариев.

Коды выхода: 2 = найдена уязвимая, 1 = версия не определена хотя бы для одной цели, 0 = все исправлены.

Примечания о ложноотрицательных результатах

404 на batch-маршруте не всегда означает «исправлено» — это может означать, что WAF/CDN или плагин безопасности блокирует анонимный доступ к REST API перед потенциально уязвимой установкой (проверьте заголовки/тело ответа на предмет сигнатур WAF). Только обновление до исправленной версии действительно удаляет уязвимый код.

Требования

Python 3.8+, только стандартная библиотека (без дополнительных зависимостей).