CVE-2026-63030 - WordPress REST API 批量路由混淆 PoC

描述

针对 CVE-2026-63030 的概念验证漏洞利用，这是 WordPress（6.9.0 至 7.0.1 版本）中的一个预认证漏洞。它串联了：

• REST API 批量路由混淆（验证与调度不匹配）
• 通过 author_exclude 参数进行的 SQL 注入
• oEmbed 缓存投毒 + Customizer changeset 权限提升
• 创建管理员用户
• 为远程命令执行上传插件

要求

• Python 3.10+
• 目标：WordPress 6.9.0 – 7.0.1，且至少有一个已发布的文章/页面
• 无外部依赖（仅使用标准库）

用法

python3 cve_2026_63030_exp.py --url http://target-wordpress.com/ --command "whoami"

选项

示例

# Auto-exploit with random admin credentials and run 'id'
python3 exploit.py --url http://192.168.1.100/wordpress/

# Custom admin and command
python3 exploit.py --url https://vuln-site.com/ --username backdoor --password 'H4ckMe!' --command 'ls -la /var/www/html'

工作原理（概要）

1. SQLi – 发送一个带有恶意 author_exclude 参数的精心构造的批量请求，利用路由混淆执行 UNION 查询。
2. 权限提升 – 投毒 oEmbed 缓存，然后通过 REST API 使用 Customizer 端点创建新的管理员用户。
3. RCE – 以新管理员身份登录，上传一个通过 shell_exec() 执行系统命令的最简插件。
4. 输出 – 将命令结果打印到 stdout。

免责声明

这仅是一个概念验证。
它旨在用于：

• 安全研究
• 经授权的渗透测试
• 本地实验室环境

请勿将其用于你不拥有或未经明确书面授权测试的系统。作者对滥用不承担任何责任。

备注

• 该漏洞利用在执行后不会清理管理员用户或插件——请手动处理。
• 如果目标有 WAF 或加固过的 wp-config.php，SQLi 可能会失败。
• 为获得最佳结果，请在目标配置中禁用 DISALLOW_FILE_MODS 和 DISALLOW_UNFILTERED_HTML。