CVE-2026-63030 — WordPress wp2shell 漏洞利用工具

针对 WordPress 核心 batch-confusion 漏洞（CVE-2026-63030 / CVE-2026-60137）的未授权检测与利用工具，该漏洞可通过 REST API 批处理端点导致 SQL 注入 和 远程代码执行（RCE）。

⚠️ 仅限授权安全测试与教育用途。 请参阅下方的免责声明。

概述

受影响的 WordPress 版本在以下位置暴露 REST API 批处理端点：

POST /wp-json/batch/v1，或
POST /?rest_route=/batch/v1（当漂亮固定链接 / wp-json 被禁用时的回退方式）

通过 batch confusion 缺陷，批处理请求体中的嵌套子请求会在缺乏适当授权的情况下被处理，从而使未授权攻击者能够注入 SQL（例如通过 author_exclude 参数），并最终实现 RCE。

本仓库提供：

文件	用途
`cve-2026-63030.py`	Python CLI — 版本检测、批处理端点解析、基于 SLEEP 的盲注 SQLi 确认，以及 `--query` 数据提取。支持批量扫描、多线程和代理。
`cve-2026-63030.yaml`	Nuclei 模板 — 被动版本检查 + 针对两种端点变体的主动基于时间的 SQLi 检测。

受影响版本

分支	受影响范围
6.8.x	6.8.0 – 6.8.5
6.9.x	6.9.0 – 6.9.4
7.0.x	7.0.0 – 7.0.1

已在 6.8.6、6.9.5 和 7.0.2 中修复。

环境要求

Python 3.8+
requests
beautifulsoup4

pip install requests beautifulsoup4

用法

python3 cve-2026-63030.py [options]

选项

标志	描述
`-u, --url URL`	单个目标 URL。
`-l, --list FILE`	目标 URL 文件（每行一个；允许 `#` 注释），用于批量扫描。
`-p, --proxy URL`	通过代理路由请求（例如 `http://127.0.0.1:8080`）。
`-t, --threads N`	批量模式的并发数（默认 `10`）。
`-q, --query SQL`	通过基于时间的盲注进行数据外带的 SQL，例如 `"select @@version"`。
`--exploit`	触发 SLEEP 载荷以确认漏洞利用。
`--delay SEC`	盲注 SQLi 的 SLEEP 窗口（默认 `2`）。
`--timeout SEC`	每个请求的超时时间（默认 `10`）。
`--silent`	抑制横幅显示。

-u/--url 与 -l/--list 互斥。

示例

# 1. Detect whether a single target is vulnerable (version + batch endpoint)
python3 cve-2026-63030.py -u http://target.tld/

# 2. Route through Burp/ZAP
python3 cve-2026-63030.py -u http://target.tld/ -p http://127.0.0.1:8080

# 3. Confirm exploitation via the SLEEP payload
python3 cve-2026-63030.py -u http://target.tld/ --exploit --delay 5

# 4. Exfiltrate data through time-based blind SQLi
python3 cve-2026-63030.py -u http://target.tld/ -q "select @@version"
python3 cve-2026-63030.py -u http://target.tld/ -q "select user()"

# 5. Bulk scan a list of hosts and extract DB version from each vulnerable one
python3 cve-2026-63030.py -l hosts.txt -t 20 -q "select @@version"

工作原理

版本检测 — 解析 <meta name="generator"> 标签，并将其与受影响的版本范围进行比对。
端点解析 — 首先尝试 /wp-json/batch/v1，仅当第一个端点无响应时才回退到 /?rest_route=/batch/v1。
确认 — --exploit 发送一个 SLEEP(n) 载荷，并验证响应确实发生延迟（duration >= delay）。
提取 — --query 通过二分查找（IF(ASCII(SUBSTRING(...)), SLEEP(n), 0)）逐字符窃取结果。

Nuclei 模板

# Validate
nuclei -tl -t cve-2026-63030.yaml

# Scan
nuclei -t cve-2026-63030.yaml -l hosts.txt
nuclei -t cve-2026-63030.yaml -u http://target.tld/

该模板会探测两种端点变体，并通过 duration >= 5 确认基于时间的 SQLi，且以受影响的 WordPress 版本为前提。

免责声明

本项目严格仅供教育目的和经授权的安全测试使用。你只能将其用于你拥有或已获得明确书面许可进行测试的系统（例如渗透测试范围、漏洞赏金计划或 CTF）。

未经授权扫描或利用你不拥有或未获授权测试的系统是违法的，并可能根据计算机滥用法构成刑事犯罪（例如美国的 CFAA、英国的《计算机滥用法》以及其他地区的同等法规）。

作者和贡献者不承担任何责任，也不对因使用或滥用本软件而产生的任何损害、数据丢失或法律后果承担任何责任。使用本工具即表示你声明你的使用是合法的，并且你承担所有相关风险。

如有疑问，请勿运行。

参考资料

作者

0xh7ml — 按原样提供，用于防御性研究和教育。

CVE-2026-63030

最受欢迎