wp2shell klingt nach der üblichen Abkürzung: Request rein, Shell raus. Genau so funktioniert die Lücke nicht.
Die öffentlich diskutierte Pre-Auth-RCE ist kein direkter Sprung von einer SQL-Injection zu PHP oder zum Betriebssystem. Die Kette verschafft dem Angreifer zuerst einen echten WordPress-Administrator. Danach geht es mit normalen WordPress-Funktionen weiter: anmelden, Plugin hochladen, Plugin aktivieren. Die Shell ist das Ergebnis, nicht der eigentliche Fehler.
Wir haben die Kette auf einem realistischen WordPress-Clone Schritt für Schritt verifiziert und anschließend gegen WordPress 7.0.2 negativ getestet. Dabei waren die Stellen am aufschlussreichsten, an denen ein einfacher PoC scheiterte oder nach dem vermeintlichen Cleanup noch Spuren übrig blieben.
Und ja: Dieser Text über eine WordPress-Core-Lücke erscheint in WordPress. Immerhin auf einer gepatchten Installation. So viel Selbstachtung muss sein.