CVE-2026-63030

##

# CVE-2026-63030: Объяснение предварительной аутентификации RCE в WordPress

> **📖 Сначала прочитайте полный технический анализ:** CVE-2026-63030: Объяснение предварительной аутентификации RCE в WordPress

> Этот репозиторий содержит proof-of-concept эксплойт, на который ссылается та статья. Начните с блога, чтобы понять уязвимость, её ограничения и процесс воспроизведения.

**Уязвимость**| CVE-2026-63030 (путаница маршрутов) + CVE-2026-60137 (SQL-инъекция)

**Тип**| Удалённое выполнение кода до аутентификации

**Затронутые версии**| WordPress 6.9.0–6.9.4, 7.0.0–7.0.1

**Исправлено в**| WordPress 6.9.5, 7.0.2+

**Влияние**| Потенциально затронуто более 500 млн сайтов на WordPress

**Предварительные условия**| Нет — работает на стандартных установках WordPress

* **`wordpress-rest-exploit.py`** — Инструмент эксплойта в одном файле Python (1005 строк, без зависимостей)

* **`README.md`** — Этот файл с настройкой и использованием

* **`POC.md`** — Пошаговое руководство по воспроизведению с реальными примерами

Прежде чем использовать этот эксплойт, поймите **критическое ограничение** , которое отличает эту уязвимость от того, как о ней сообщалось:

Цепочка уязвимостей реальна и критична. Тем не менее:

* ✅ **Обнаружение уязвимости работает идеально** (< 1 секунды)

* ✅ **SQL-инъекция подтверждена как эксплуатируемая** (доказательство на основе времени)

* ✅ **Доступ к базе данных возможен** (слепая SQLi-экстракция)

* ❌ **Автоматизированная эксплуатация не удаётся на 70% рабочих сайтов**

**Почему?** WordPress позволяет использовать пользовательские префиксы таблиц базы данных. По умолчанию используется `wp_`, но большинство сайтов с усиленной безопасностью используют `bw1w_`, `wordpress_` или случайные строки. Без знания префикса извлечение хэша происходит незаметно.

* Только стандартная библиотека (без внешних зависимостей)

* Цель: WordPress 6.9.0–7.0.1 (уязвимые версии)

1. **Целевой URL** — Какой сайт на WordPress тестировать

2. **Обнаружение уязвимости** — Подтверждает подверженность CVE-2026-63030

* Чтение отпечатка базы данных (версия MySQL, пользователь, имя базы)

* Извлечение логинов пользователей WordPress и хэшей паролей

* Выполнение пользовательских SQL-запросов

* Развёртывание веб-шелла в виде плагина (требуются учётные данные администратора)

* Подтверждение SQL-инъекции с помощью временной нагрузки

CVE-2026-63030: WordPress REST Batch Route-Confusion SQLi

------------------------------------------------------------

[*] Проверка, уязвима ли цель к CVE-2026-63030...

[+] Обнаружен WordPress 7.0 (ЗАТРОНУТАЯ ВЕРСИЯ)

[+] УЯЗВИМО - подтверждено поведение путаницы маршрутов в batch

2) Извлечь логины пользователей WordPress и хэши паролей

4) Развернуть веб-шелл в виде плагина (требуются учётные данные администратора)

5) Подтвердить SQL-инъекцию с помощью временной нагрузки

## Критическое ограничение: Префикс таблицы базы данных

**Это важно понять перед использованием эксплойта.**

WordPress позволяет использовать пользовательские префиксы таблиц базы данных для усиления безопасности. Инструмент эксплойта не может автоматически определить префикс.

✅ Стандартный префикс (wp_): Эксплуатация работает

❌ Пользовательский префикс (bw1w_, и т.д.): Эксплуатация незаметно не удаётся

Когда инструмент запрашивает префикс таблицы:

**Вариант 2: Угадайте распространённые префиксы**

* Пользовательские буквенно-цифровые шаблоны

**Вариант 3: Прямой доступ** Если у вас есть SSH-доступ или вы можете прочитать `wp-config.php`:

**Вариант 4: Перебор через SQLi** Инструмент может попытаться использовать распространённые префиксы через слепую SQL-инъекцию (медленно, но возможно).

* HTTP-ответ 207 с уязвимыми кодами ошибок

* Процент успеха: 100% на затронутых версиях

* Извлечение версии MySQL, пользователя, имени базы данных

* Запрос таблицы `wp_users` (или пользовательского префикса)

* **Требуется знание правильного префикса таблицы**

* Время: 30+ минут (слепая SQLi медленная)

* Процент успеха: 0% без префикса; 100% с ним

* Время: 10 минут – 72+ часа (зависит от пароля)

* Процент успеха: Зависит от энтропии пароля

* Вход с восстановленными учётными данными

* Процент успеха: 100% (учётные данные действительны)

* Процент успеха: 100% (аутентифицирован)

* Выполнение системных команд через веб-шелл

* **Без знания префикса:** Эксплуатация останавливается на этапе 4 ❌

* **Со слабым паролем:** Всего 35–40 минут ✅

* **С сильным паролем:** Всего 2–4 часа ✅

Для подробного воспроизведения с реальным выводом команд и примерами смотрите:

**👉POC.md** — Полное прохождение 8 этапов

**Обновитесь немедленно** (наивысший приоритет):

**Если немедленное обновление невозможно:**

1. **Заблокируйте batch-эндпоинт на WAF/обратном прокси:**

2. **Или полностью отключите REST API** (менее предпочтительно):

// Добавить в wp-config.php или mu-plugins

add_filter('rest_endpoints_enabled', '__return_false');