PoC: WP2Shell — CVE-2026-63030 и CVE-2026-60137

📌 Обзор

WP2Shell — это цепочка эксплойтов (Exploit Chain), затрагивающая ядро WordPress Core, которая позволяет удалённому атакующему без аутентификации (Unauthenticated Remote Attacker) получить полный контроль над сервером (Full Server Takeover / RCE).

Цепочка эксплойтов объединяет две уязвимости безопасности:

1. CVE-2026-63030 (REST API Batch Route Confusion): Конфликт разрешения маршрутов (endpoint) в batch-обработчике WordPress REST API, позволяющий запросу пройти аутентификацию по одному маршруту, но выполниться по другому, обходя механизмы проверки прав доступа (Authentication / Route Validation Bypass).
2. CVE-2026-60137 (SQL Injection в WP_Query): Ошибка недостаточной фильтрации входных данных (Sanitization) параметра author__not_in в WP_Query, приводящая к SQL Injection.

При объединении этих двух уязвимостей атакующий может отправить специально сформированный HTTP-запрос к /wp-json/batch/v1, обойти механизмы аутентификации, активировать SQLi для повышения привилегий, создать shell и удалённо выполнить произвольный код (RCE).

📊 Сведения об уязвимостях

🎬 Видео PoC (Proof-of-Concept)

Видеозапись всего процесса воспроизведения и практической эксплуатации уязвимости хранится на Google Drive:

🔗 Ссылка для просмотра / загрузки видео PoC: Google Drive — Видео WP2Shell PoC

📖 Подробный технический анализ (Detailed Writeup)

Весь ход технического анализа, пошаговое воспроизведение PoC и объяснение исходного кода размещены в Notion:

🔗 Ссылка на статью в Notion: Ход POC CVE WP2Shell (Notion Writeup)

⚙️ Схема цепочки эксплуатации

flowchart TD
    A["[Attacker] Unauthenticated Remote Request"] --> B["REST API Batch Endpoint (/wp-json/batch/v1)"]
    B --> C["CVE-2026-63030: Batch Route Confusion\n(Bypass Route Validation & Access Control)"]
    C --> D["CVE-2026-60137: SQL Injection\n(Unsanitized 'author__not_in' in WP_Query)"]
    D --> E["Database Manipulation / Privilege Escalation\n(Admin session / User creation)"]
    E --> F["Web Shell Upload / Execution"]
    F --> G["💥 Full Server Takeover (RCE)"]

🛡️ Меры по устранению и предотвращению (Mitigation)

1. Немедленно обновиться: Обновите ядро WordPress до безопасной версии:
   • Ветка 6.8.x: обновление до WordPress 6.8.6
   • Ветка 6.9.x: обновление до WordPress 6.9.5
   • Ветка 7.0.x: обновление до WordPress 7.0.2
2. Настройка WAF / веб-сервера:
   • Если обновление невозможно выполнить немедленно, временно заблокируйте или строго контролируйте запросы от неаутентифицированных пользователей к endpoint /wp-json/batch/v1.
3. Проверка сервера (Forensics):
   • Просмотрите журналы веб-сервера на предмет подозрительных запросов к /wp-json/batch/v1.
   • Просканируйте каталоги wp-content/uploads/ и wp-content/plugins/ на наличие web shell или посторонних файлов.

⚠️ Отказ от ответственности (Disclaimer)

[!WARNING] Данный документ и исходный код PoC предназначены исключительно для исследования безопасности, образования и защиты систем. Автор не несёт никакой ответственности за неправомерное использование информации или инструментов из этого репозитория для атак на системы, в отношении которых у вас нет законных полномочий.