WP2Shell Scanner

Инструмент командной строки, который проверяет, подвержен ли сайт на WordPress уязвимости WP2Shell (CVE-2026-63030 и CVE-2026-60137). Он считывает версию WordPress и поверхность REST API с помощью запросов только на чтение и выдаёт вердикт. Он ничего не эксплуатирует.

[!WARNING] Только для авторизованного тестирования. Используйте его на сайтах, которыми вы владеете или на проверку которых имеете письменное разрешение. Автор (DanSec) не несёт ответственности за неправомерное использование или ущерб.

О WP2Shell

WP2Shell объединяет SQL-инъекцию (CVE-2026-60137) с ошибкой пакетного обработчика REST (CVE-2026-63030) через конечную точку /wp-json/batch/v1, что даёт неаутентифицированное удалённое выполнение кода на стандартной установке WordPress. Обе CVE находятся в каталоге известных эксплуатируемых уязвимостей CISA.

Установка

Требуется Python 3.8+.

pip install -r requirements.txt

Требуются requests и rich. sublist3r необязателен (перечисление поддоменов). Для более широкого перечисления установите subfinder (бинарный файл Go, не pip) и передайте --subfinder.

Использование

# Проверить один хост
python wpScanner.py example.com --passive

# Перечислить поддомены корневого домена и проверить каждый
python wpScanner.py example.com --subfinder --threads 8

Результаты

Результаты также записываются в CSV. Когда источники версии расходятся, инструмент классифицирует по наименьшей из них, чтобы избежать ложного «всё чисто». Удалённая проверка не может увидеть бэкпортированный патч, оставивший строку версии без изменений, поэтому на хостах, которыми вы управляете, wp core version является источником истины.

Устранение

Обновите ядро до 6.9.5, 7.0.2 или 7.1+ (wp core update). Если вы пока не можете установить патч, заблокируйте /wp-json/batch/v1 на межсетевом экране и ограничьте анонимный доступ к REST.

Отказ от ответственности

Предоставлено только для авторизованного, защитного использования. Вы несёте ответственность за наличие разрешения на проверку любого хоста, на который вы его направляете.