CVE-2026-63030-Wp2Shell

CVE-2026-63030 wp2shell — WordPressコアの事前認証RCE REST APIバッチルートの混乱とCVE-2026-60137 SQLインジェクションの連鎖 要約 — 未認証の攻撃者が、WordPress REST APIのバッチルーティングのバグと、WPQueryのSQLインジェクションを連鎖させ、標準のWordPress環境（プラグイン不要、アカウント不要、ユーザー操作不要）で完全なリモートコード実行を達成できます。この脆弱性はAdam Kues（Assetnote / Searchlight Cyber）氏によって発見され、wp2shell...

CVE-2026-63030

CVE-2026-63030 - WordPress REST API バッチルート混乱 PoC 説明 CVE-2026-63030の概念実証エクスプロイトです。これはWordPress（バージョン6.9.0〜7.0.1）における認証前の脆弱性です。以下のチェーンを利用します： REST API バッチルート混乱（検証とディスパッチの不一致） authorexclude パラメータによるSQLインジェクション oEmbedキャッシュポイズニング + Customizer変更セットによる権限昇格 管理者ユーザーの作成 リモートコマンド実行のためのプラグインアップロード 要件 Python...

wp2shell-vulnerability-scanner

WP2Shell スキャナー WordPress インストールをスキャンして wp2shell 脆弱性チェーンをチェックする、読み取り専用で非破壊的なセキュリティ監査ツールです。 概要 WP2Shell Scanner は、ディレクトリツリーを再帰的に検索して WordPress インストールを探し、各サイトが wp2shell 脆弱性 CVE-2026-63030 + CVE-2026-60137 に対して脆弱なコアバージョンを実行しているかどうかをチェックする bash ユーティリティです。 このツールは、システム管理者やセキュリティチームが緊急パッチが必要な WordPress...

wordpress-batch-rce-lab

wp2shell: WordPress バッチ RCE CVE-2026-63030 の技術的解説。これは WordPress コアの REST API バッチエンドポイントにおけるロジックバグで、匿名リクエストを別のリクエストのルートと権限チェックの下でディスパッチさせ、CVE-2026-60137（SQL インジェクション）へ連鎖することで、標準インストール上で認証なしのリモートコード実行を可能にします。2026年7月に WordPress 7.0.2 / 6.9.5 でパッチが適用されました。 開示. 本記事とラボは、WordPress の公開フィックスと Searchlight...

abdal-cve-2026-63030

English | فارسی 🛡️ Abdal CVE-2026-63030 PoC Exploits Abdal CVE-2026-63030 は、CVE-2026-63030 として追跡されている WordPress REST API バッチルート混乱に対する防御用の露出検証ツールです。この問題は、影響を受ける WordPress リリースで CVE-2026-60137 と連鎖させることができ、リモートコード実行につながる可能性があります。...

Exploit for Interpretation Conflict in Wordpress

WP2Shell — CVE-2026-63030 + CVE-2026-60137 WordPress Core Pre-...

Exploit for CVE-2026-63030

CVE-2026-63030 The WordPress REST API batch routing confusi...

Imperva Customers Protected Against “wp2shell” Pre-Authentication RCE in WordPress Core

TL;DR : A critical pre-authentication Remote Code Execution RCE vulnerability, dubbed "wp2shell" CVE-2026-63030, has been identified in WordPress Core. This vulnerability allows an unauthenticated attacker to execute arbitrary code on a vulnerable WordPress installation without any preconditions,...