codeb0ssx/Ultimate-wp2shell

# (WP2Shell) – 概念验证      ## 概述 本仓库提供了一个用于防御性检测和验证的**概念验证**， 针对统称为 **WP2Shell** 的 WordPress Core 漏洞。 根据公开的安全研究，**WP2Shell** 描述了一个涉及 **CVE-2026-60137** 和 **CVE-2026-63030** 的漏洞链， 在特定条件下，可能导致**未经身份验证的远程代码执行 (RCE)**。 本项目的目标是帮助： - 安全研究人员 - 渗透测试人员 - 蓝队 - 事件响应人员 - 系统管理员 识别易受攻击的 WordPress 安装，在授权的 实验室环境中重现该问题，并在应用 官方安全更新后验证修复情况。 本仓库**仅限用于教育、防御和 授权的安全研究目的**。 ## 漏洞 | CVE | 描述 | |------|-------------| | **CVE-2026-60137** | 参与 WP2Shell 漏洞链的 WordPress Core 漏洞。 | | **CVE-2026-63030** | 严重的 WordPress Core 远程代码执行 (RCE) 漏洞，公开称为 WP2Shell。 | ## 受影响版本 根据公开的安全公告，以下 WordPress Core 版本受到影响： - WordPress **6.9.0 – 6.9.4** - WordPress **7.0.0 – 7.0.1** 用户应升级到 WordPress 安全团队提供的最新修复版本。 ## 仓库目标 本项目旨在协助防御者： - 验证是否暴露于 WP2Shell - 检测易受攻击的 WordPress 安装 - 验证修补后的修复情况 - 在隔离的实验室环境中重现该问题 - 支持事件响应和取证调查 - 提高对已披露漏洞的技术理解 ## 功能 - 防御性漏洞验证 - 检测受影响的 WordPress 版本 - 面向研究的实现 - 补丁验证 - 轻量级检测器 / 扫描器 - 教育参考实现 # 截图 ## 检测器 / 扫描器


## 学术与防御性研究声明 本仓库的发布仅用于： - 学术研究 - 安全教育 - 防御性安全验证 - 授权的渗透测试 - 事件响应 - 补丁验证 - 漏洞评估 本软件**必须仅**针对以下对象运行： - 您拥有的系统，或 - 您已获得明确授权的系统。 ## 授权要求 对您不拥有或未管理的系统进行未经授权的测试，可能 违反当地法律、组织政策或国际法规。 作者**不**鼓励或支持： - 未经授权的访问 - 全互联网范围的漏洞利用 - 对第三方系统的大规模扫描 - 恶意活动 - 滥用易受攻击的基础设施 ## 负责任的使用 本仓库演示了公开披露的漏洞行为，仅用于 防御性验证和教育目的。 它**并非旨在**用作攻击性的漏洞利用框架，或 促成未经授权的访问。 期望用户遵守所有适用的法律、法规和 负责任的披露实践。 ## 测试环境 该概念验证是在以下环境中开发和验证的： - **操作系统：** Microsoft Windows - **Python 版本：** **2.7.17** 在其他操作系统或 Python 版本上执行可能需要进行细微的 修改。 ## 缓解措施 强烈建议管理员： - 将 WordPress 升级到官方修复版本 - 应用所有可用的安全更新 - 审查身份验证和 Web 服务器日志 - 监控可疑的管理活动 - 部署 Web Application Firewall (WAF) 防护 - 遵循 WordPress 安全强化建议 - 持续监控官方 WordPress 安全公告 ## 参考 - Rapid7 — WP2Shell 研究 - The Hacker News — WP2Shell 分析 - CVE-2026-60137 - CVE-2026-63030 - WordPress 安全版本 ## 联系方式 **Telegram** https://t.me/thecodeb0ss ## 许可证 本项目发布用于**教育和防御性安全研究**。 用户需自行负责确保所有测试均在 获得适当授权并根据适用法律、法规及 组织政策的情况下进行。 ## 免责声明 本软件按**“原样”**提供，不提供任何形式的明示或 暗示保证，包括但不限于适销性、 特定用途适用性以及非侵权性的保证。 在任何情况下，无论出于何种合同、侵权或其他 行为，作者或版权持有人均不对任何索赔、 损害或其他责任负责，这些责任因本软件或 本软件的使用或 其他交易引起或与之相关。 使用本仓库即表示您承认，您需全权负责 确保您的活动已获授权并符合所有适用的 法律、法规和组织政策。

标签：CISA项目, PoC, Python, WordPress, 安全漏洞, 无后门, 暴力破解, 编程工具, 远程代码执行