PoC: WP2Shell — CVE-2026-63030 & CVE-2026-60137

📌 总览 (Overview)

WP2Shell 是 WordPress Core 源码中的一条严重漏洞利用链 (Exploit Chain)，允许未经身份验证的远程攻击者 (Unauthenticated Remote Attacker) 完全控制服务器 (Full Server Takeover / RCE)。

该漏洞利用链结合了两个安全漏洞：

1. CVE-2026-63030 (REST API Batch Route Confusion): WordPress REST API 批处理器中的端点解析冲突，使请求在一个路由上通过认证，却在另一个路由上执行，从而绕过访问控制检查 (Authentication / Route Validation Bypass)。
2. CVE-2026-60137 (SQL Injection in WP_Query): WP_Query 中的 author__not_in 参数缺少输入过滤 (Sanitization)，导致 SQL 注入。

当这两个漏洞被串联利用时，攻击者可以向 /wp-json/batch/v1 发送特制的 HTTP 请求，绕过认证机制并触发 SQLi，从而实现权限提升、创建 shell 并从远程执行任意代码 (RCE)。

📊 漏洞信息 (Vulnerability Details)

🎬 概念验证演示视频 (PoC Video)

记录完整复现与实际利用过程的视频存储于 Google Drive：

🔗 查看/下载 PoC 视频链接: Google Drive - Video Demo WP2Shell PoC

📖 详细技术分析文档 (Detailed Writeup)

完整的技术分析流程、PoC 逐步复现过程以及源码解析均存储于 Notion：

🔗 Notion 文章链接: CVE WP2Shell PoC 流程 (Notion Writeup)

⚙️ 漏洞利用链流程图 (Exploitation Flow)

flowchart TD
    A["[Attacker] Unauthenticated Remote Request"] --> B["REST API Batch Endpoint (/wp-json/batch/v1)"]
    B --> C["CVE-2026-63030: Batch Route Confusion\n(Bypass Route Validation & Access Control)"]
    C --> D["CVE-2026-60137: SQL Injection\n(Unsanitized 'author__not_in' in WP_Query)"]
    D --> E["Database Manipulation / Privilege Escalation\n(Admin session / User creation)"]
    E --> F["Web Shell Upload / Execution"]
    F --> G["💥 Full Server Takeover (RCE)"]

🛡️ 修复与预防措施 (Mitigation)

1. 立即更新: 将 WordPress Core 升级到安全版本：
   • 6.8.x 分支：升级到 WordPress 6.8.6
   • 6.9.x 分支：升级到 WordPress 6.9.5
   • 7.0.x 分支：升级到 WordPress 7.0.2
2. 配置 WAF / Web 服务器:
   • 如果无法立即更新，请暂时阻止或严格限制来自未经身份验证用户对 /wp-json/batch/v1 端点的请求。
3. 服务器排查 (Forensics):
   • 检查 Web 服务器日志，查找发送至 /wp-json/batch/v1 的异常请求。
   • 扫描 wp-content/uploads/ 和 wp-content/plugins/ 目录，以发现 web shell 或可疑文件。

⚠️ 免责声明 (Disclaimer)

[!WARNING] 本文档及 PoC 源码仅用于安全研究、教育与系统防御之目的。 作者不对任何人未经合法授权使用本仓库中的信息或工具攻击系统承担任何责任。