🔓 WP2Shell — Resumen para compartir

WP2Shell es una herramienta de pentesting escrita en Python que explota una vuln de SQL Injection en el endpoint /wp-json/batch/v1 de la API REST de WordPress, logrando RCE no autenticado.

⚡️ CVEs
CVE-2026-63030 / CVE-2026-60137
Afecta a WordPress 6.4.x y anteriores
Vector: SQLi → RCE sin autenticación

🎯 Cadena de explotación

Detección → Time-based blind SQLi con SLEEP()
Fingerprinting → ORDER BY para mapear columnas
UNION-based extraction → DB, tablas y credenciales de admin
RCE Path A → INTO OUTFILE para escribir webshell PHP
RCE Path B (fallback) → Subida de plugin como admin

🛠 Features

Descubrimiento automático de método HTTP (POST/PUT/PATCH/DELETE)
Scanning multi-hilo
Informes en JSON + HTML con URLs de shell clickables
Modo --no-shell (solo extracción de credenciales)

🚀 Uso rápido

git clone https://github.com/NULL200OK/wp2shell.git
cd wp2shell
pip install requests beautifulsoup4
echo "https://target.com" > targets.txt

# Discovery
python wp2shell.py targets.txt --scan --verbose

# Full exploit
python wp2shell.py targets.txt --exploit --verbose


🛡 Mitigación (lado defensivo)
Parchear WP a la última versión
Bloquear /wp-json/batch/ vía .htaccess o WAF
WAF con reglas SQLi (Cloudflare, ModSecurity, Wordfence)
MySQL sin FILE privilege para la cuenta de WP
DISALLOW_FILE_EDIT en wp-config.php
Monitorear slow queries en MySQL

⚠️ Disclaimer típico

Solo para entornos controlados, CTFs, labs o con autorización escrita. El uso no autorizado es ilegal.             

🚀 Si te mola la ciberseguridad y quieres subir de nivel rodeado de gente que está en lo mismo que tú… este es tu sitio.

🌐 Página Web:
https://www.hackingteamoficcial.uk/

💻 GitHub:
https://github.com/HackingTeamOficial

📲 Telegram:
https://t.me/PlantillasNucleiHackingTeam
https://t.me/HackingTeamGrupoOfficial
https://t.me/+0hHSaKO7eI9mNWY8 (Difusión)
https://t.me/+llcmNGzz6JIyMmI0 (Biblioteca)
https://t.me/TermuxHackingTeam

🐦 X (Twitter):
@HackingTeam77

🦋 Bluesky:
https://bsky.app/profile/hackingteam.bsky.social

💬 Discord:
https://discord.gg/V4nPFbQX

📘 Facebook:
https://www.facebook.com/groups/hackingteam2022/?ref=share
https://www.facebook.com/groups/HackingTeamCyber/?ref=share

🎥 YouTube:
https://www.youtube.com/@HackingTeamOficial/videos

🎵 TikTok:
https://www.tiktok.com/@hackingteamprohackers
https://www.tiktok.com/@hacking.kdea?_t=ZS-8vTtlaQrDTL&_r=1