CVE-2026-63030
WordPress < 7.0.2 - الخلط في مسارات الدُفعات في REST API ومشكلة حقن SQL تؤدي إلى تنفيذ التعليمات البرمجية عن بُعد
- تم النشر
- 17/07/2026
- محدث
- 07/10/2026
- تخصيص CNA
- WPScan
- الأدلة المرصودة
- 21/07/2026
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hمتوسط · الثلاثين يومًا القادمة
- المئوية
- 95.8%
- تاريخ الموديل
- 15/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
CISA معروف باستغلاله
يظهر CVE هذا في كتالوج الثغرات الأمنية المعروفة بـ CISA.
ملخص
يتأثر WordPress 6.9.x قبل الإصدار 6.9.5 و7.0.x قبل الإصدار 7.0.2 بمشكلة ارتباك في توجيه المسار (route confusion) لنقطة نهاية الدُفعات (batch endpoint) في REST API، والتي قد تسمح — عند دمجها مع ثغرة حقن SQL في author__not_in الخاصة بـ WP_Query (CVE-2026-60137) — للمهاجم بتنفيذ حقن SQL وتحقيق تنفيذ التعليمات البرمجية عن بُعد.
المصادر
modules/auxiliary/scanner/http/wordpress_wp2shell_sqli.rb
Metasploit Framework modulesالشروط المعلنة
- verification: check_declared($.auxiliary_scanner/http/wordpress_wp2shell_sqli.check)
wordpress/CVE-2026-63030
WordPress Pre-Auth RCE via REST API Batch Route Confusion and SQL Injection (wp2shell, CVE-2026-63030 / CVE-2026-60137)
Vulhub vulnerability labsالشروط المعلنة
- lab image version: vulhub/wordpress:6.9.4(wordpress/CVE-2026-63030/docker-compose.yml:services.web.image)
- lab image version: mysql:8.0(wordpress/CVE-2026-63030/docker-compose.yml:services.db.image)
modules/exploits/multi/http/wp_batch_desync_rce.rb
Metasploit Framework modulesالشروط المعلنة
- platform: Linux,PHP,Unix($.exploit_multi/http/wp_batch_desync_rce.platform)
- verification: check_declared($.exploit_multi/http/wp_batch_desync_rce.check)
http/cves/2026/CVE-2026-63030.yaml
Nuclei Templatesالشروط المعلنة
- network: http($.protocol_keys)
- verification: dsl,status,word($.matchers[*].type)
- CVE-2026-63030إعلامية
CVE-2026-63030
- CVE-2026-63030استغلال
استغلال إثبات المفهوم لثغرة CVE-2026-63030، يوضح تقنيات الاستغلال لأغراض البحث والاختبار الأمني.
- wp2shellاستغلال
CVE-2026-63030 + CVE-2026-60137 - “wp2shell”: RCE غير مصدق في نواة ووردبريس
- CVE-2026-63030-POCاستغلال
CVE-2026-63030 / wp2shell
- CVE-2026-63030استغلال
CVE-2026-63030 (wp2shell) إثبات المفهوم.
- CVE-2026-63030استغلال
استغلال إثبات المفهوم لـ CVE-2026-63030، ثغرة ما قبل المصادقة في ووردبريس (الإصدارات من 6.9.0 حتى 7.0.1).
- wp2shell-poc2استغلال
CVE-2026-63030
- Wp2Shellاستغلال
استغلال PoC لـ Wp2Shell، CVE-2026-63030 + CVE-2026-63137
- CVE-2026-63030استغلال
CVE-2026-63030 - إثبات المفهوم لثغرة حقن SQL عبر الارتباك في المسارات في طلبات REST المجمّعة لووردبريس
- wp2shell-pocاستغلال
تحليل وتنفيذ متكامل لثغرة تنفيذ الأكواد عن بُعد (RCE) المُصحَّحة في ووردبريس - CVE-2026-60137 وCVE-2026-63030
- wp2shellاستغلال
PoC لـ CVE-2026-63030 + CVE-2026-60137، المعروف أيضًا باسم WP2Shell
- wp2shell-pocPoC
wp2shell — poc لسلسلة استغلال RCE قبل المصادقة في نواة ووردبريس لثغرات CVE-2026-63030 وCVE-2026-60137
- wp2shell-labاستغلال
كاشف غير إتلافي + مختبر Docker لأداة wp2shell (التباس مسار REST /batch/v1 CVE-2026-63030 + حقن SQL عبر author__not_in CVE-2026-60137) في نواة ووردبريس 6.9.0-6.9.4 / 7.0.0-7.0.1
استغلال WordPress لثغرة تنفيذ كود عن بُعد (RCE) بدون مصادقة، يجمع بين التباس المسار (route confusion) وحقن SQL. يتضمن سكربت آلي، وإعداد بيئة مختبر، وتحليلًا مفصّلًا للثغرة.
- wp2shellاستغلال
CVE-2026-63030 (RCE) + CVE-2026-60137 (SQLi)
- wp2shell-scanاستغلال
ماسح ضوئي ومجموعة أدوات لإثبات المفهوم لـ CVE-2026-63030 (wp2shell) - تنفيذ تعليمات برمجية عن بُعد قبل المصادقة في نواة WordPress
- WP2Shellاستغلال
إطار عمل ووردبريس معياري لاستغلال الثغرات قبل المصادقة، يجمع بين حقن SQL وتجاوز المصادقة لتوفير تنفيذ التعليمات البرمجية عن بُعد، وقذائف تفاعلية، وأبواب خلفية، ومسح واسع النطاق للثغرات.
- CVE-2026-63030-Wp2Shellاستغلال
إثبات مفهوم (PoC) لاستغلال SQLi في REST API الخاص بـ WordPress للوصول إلى RCE (CVE-2026-63030 & CVE-2026-60137)
استغلال تنفيذ الأوامر عن بُعد (RCE) قبل المصادقة لووردبريس (CVE-2026-63030 + CVE-2026-60137) يربط بين التلاعب بالمسارات وحقن SQL للوصول الكامل إلى الصدفة. يتضمن مختبر Docker للاختبار الآمن.
- wp2shellاستغلال
wp2shell — ثغرة تنفيذ برمجي عن بُعد (RCE) قبل المصادقة في نواة ووردبريس (CVE-2026-60137 + CVE-2026-63030). تجمع بين حقن SQL في author__not_in مع التباس توجيه الدُفعات (batch-route confusion) لتنفيذ برمجي عن بُعد دون مصادقة على الإصدارات WP 6.9.0–6.9.4 / 7.0.0–7.0.1.
- wp2shell-pocاستغلال
wp2shell (CVE-2026-63030 & CVE-2026-60137) - سلسلة RCE كاملة
- wp2shellاستغلال
wp2shell — ثغرة RCE قبل المصادقة في نواة ووردبريس (CVE-2026-63030 + CVE-2026-60137). مجموعة أدوات استغلال + تصحيح.
تحليل تقني، وتفصيل السبب الجذري، ومنهجية اكتشاف غير إتلافية لـ CVE-2026-63030.
- EXPLOIT-CVE-2026-63030استغلال
مختبر ووردبريس ضعيف مبني على Docker مع استغلال بايثون يوضح سلسلة التباس التوجيه قبل المصادقة وحقن SQL (CVE-2026-63030 + CVE-2026-60137) لاستخراج بيانات الاعتماد وتنفيذ التعليمات البرمجية عن بُعد (RCE).
- wp2shellاستغلال
wp2shell - WordPress RCE & PoC (CVE-2026-63030 + CVE-2026-60137)
- wp2shell-Wordpress-TOWNاستغلال
يتيح تنفيذ التعليمات البرمجية عن بُعد دون مصادقة (RCE) في نواة ووردبريس (WordPress Core) للمهاجمين تنفيذ تعليمات برمجية عشوائية دون تسجيل الدخول عبر الربط بين CVE-2026-63030 وCVE-2026-60137، مما قد يؤدي إلى اختراق كامل للموقع.
- wp2shellاستغلال
wp2shell - أداة استغلال وماسح ضوئي لثغرة WordPress CVE-2026-63030
- wp2shellاستغلال
إثبات مفهوم (PoC) لثغرة RCE قبل المصادقة في نواة WordPress — يربط بين CVE-2026-63030 (route-confusion desync في REST /batch/v1) و CVE-2026-60137 (حقن SQL في author__not_in) للحصول على شل بدون مصادقة. اختبار مصرح به فقط.
- CVE-2026-63030استغلال
WordPress استغلال RCE غير مصرح به | CVE-2026-63030
- CVE-2026-63030-POCاستغلال
إثبات المفهوم لاستغلال CVE-2026-63030 (ثغرة تنفيذ أوامر عن بعد قبل المصادقة في ووردبريس) مع كشف حقن SQL، استخراج بيانات الاعتماد، ونشر شيل الويب. يتضمن سير عمل استغلال من 8 مراحل وإرشادات التصحيح.
- CVE-2026-63030استغلال
استغلال (PoC) لثغرة RCE بدون مصادقة في WordPress Core المعروفة باسم WP2Shell
ثغرة RCE قبل المصادقة في نواة ووردبريس عبر الالتباس في مسار دُفعات REST API + ثغرة SQLi في WP_Query (CVE-2026-63030 / CVE-2026-60137). PoC للكشف.
- CVE-2026-63030استغلال
ثغرة تنفيذ كود عن بُعد (RCE) قبل المصادقة في نواة ووردبريس عبر الالتباس في مسار دُفعات REST + حقن SQL (CVE-2026-63030 + CVE-2026-60137)
تحليل مستقل للسبب الجذري وإثبات مفهوم لحقن SQL غير مصادق عليه إلى تنفيذ أوامر عن بعد في WordPress (CVE-2026-63030 + CVE-2026-60137)، مع مختبر Docker وتوثيق مفصل لسلسلة الاستغلال.
- PressVectorاستغلال
PressVector - ماسح ثغرات متقدم لووردبريس CVE-2026-63030 (التباس مسار REST الدفعي) / CVE-2026-60137 (حقن SQL) المطوّر: Vulnquest
CVE-2026-63030: عدم تزامن المصفوفة في نقطة النهاية الجماعية REST في ووردبريس. الآلية، والكشف، والتخفيف، ومختبر إعادة إنتاج آمن.
- CVE-2026-63030استغلال
ثغرة تنفيذ التعليمات البرمجية عن بُعد (RCE) قبل المصادقة في نواة ووردبريس — الخلط في التوجيه الدفعي + حقن SQL
- CVE-2026-63030استغلال
مستغل جماعي بلغة Python وكاشف لسلسلة RCE قبل المصادقة في نواة WordPress CVE-2026-63030 وCVE-2026-60137، تربط حقن SQL بالتنفيذ عن بُعد للتعليمات البرمجية.
- wp2shellاستغلال
استغلال RCE بدون مصادقة في نواة ووردبريس (CVE-2026-63030 + CVE-2026-60137)
مختبر WordPress قائم على Docker يعيد إنتاج CVE-2026-60137 وCVE-2026-63030 لتنفيذ التعليمات البرمجية عن بُعد (RCE) قبل المصادقة، مع استغلال PoC بلغة Python لـ SQLi، وتصعيد الامتيازات، ونشر webshell.
- CVE-2026-63030استغلال
أداة استغلال بلغة Python تربط بين CVE-2026-63030 الخاص بارتباك مسارات REST batch مع CVE-2026-60137 الخاص بحقن SQL لتحقيق تنفيذ أوامر عن بُعد (RCE) غير مُصادَق عليه في WordPress، وقراءة قاعدة البيانات، ونشر webshell.
- wp2shell-Exploit-Waf-Bypassاستغلال
استغلال RCE قبل المصادقة في ووردبريس + ماسح ضوئي + تجاوز WAF | CVE-2026-63030 + CVE-2026-60137 | Go + Python + وحدات Metasploit + مختبر Docker
- WP2Shellاستغلال
WP2Shell - CVE-2026-63030 / CVE-2026-60137 تستغل هذه الأداة ثغرة حرجة من حقن SQL في نقطة نهاية REST API الخاصة بـ WordPress `/wp-json/batch/v1`، مما يسمح للمهاجمين غير المصادَق عليهم بتنفيذ استعلامات SQL تعسفية وتحقيق تنفيذ التعليمات البرمجية عن بُعد (RCE) على تثبيتات WordPress المعرضة للخطر.
- WordPresShellاستغلال
إثبات مفهوم لاختراق RCE بدون مصادقة لـ CVE-2026-63030 / CVE-2026-60137 (نواة ووردبريس)
RCE قبل المصادقة كإثبات مفهوم يربط تجاوز مصادقة WordPress REST batch API مع حقن SQL في WP_Query لاستخراج التجزئات، أو إضافة مستخدمين إداريين، أو زرع webshell.
استغلال إثبات المفهوم لـ CVE-2026-63030، يوضح الثغرة الأمنية ويوفر سكربت استغلال عملي للاختبار الأمني والتحقق.
- wp2shellاستغلال
سلسلة استغلال آلية لـ CVE-2026-63030 / CVE-2026-60137 — حقن SQL أعمى غير مصادَق عليه عبر التباس مسار الدُفعات في REST لووردبريس. يستخرج تجزئات المستخدمين، يكسر بيانات الاعتماد، وينشر webshell. يدعم هدفًا واحدًا وقوائم مواقع مجمعة. لأغراض اختبار الأمان المصرح بها فقط.
- wp2shell-labPoC
PoC تعليمي + مختبر لـ CVE-2026-63030 + CVE-2026-60137: حقن SQL قبل المصادقة في نواة ووردبريس عبر الالتباس في مسار REST المجمّع
- wp2shell-labالبحث
هدف التحقق: شريحة أساسية مصغرة من ووردبريس تعيد إنتاج سلسلة wp2shell (CVE-2026-63030 + CVE-2026-60137) REST-to-SQLi
- wp2shell-scannerاستغلال
CVE-2026-63030 / CVE-2026-60137 - ماسح ضوئي لثغرات RCE قبل المصادقة في ووردبريس
كاشف إثبات المفهوم (PoC) ومُدقِّق آمن لسلسلة ثغرات WP2Shell في ووردبريس: CVE-2026-63030 (التباس توجيه الدُفعات في REST) + CVE-2026-60137 (حقن SQL عبر author__not_in). للاختبارات الأمنية المصرح بها فقط.
- CVE-2026-63030_PoCاستغلال
CVE-2026-63030 - استغلال جماعي لثغرة تنفيذ التعليمات البرمجية عن بعد قبل المصادقة في نواة ووردبريس
- Ultimate-wp2shellالكشف
wp2shell — تنفيذ كود عن بُعد قبل المصادقة في نواة ووردبريس (CVE-2026-60137 + CVE-2026-63030). يجمع بين حقن SQL في author__not_in مع التباس توجيه الدُفعات (batch-route) لتنفيذ كود عن بُعد دون مصادقة على WP 6.9.0–6.9.4 / 7.0.0–7.0.1.
- CVE-2026-63030استغلال
استغلال قائم على شل لـ CVE-2026-63030، يوفر استغلالًا آليًا للثغرات وقدرات اختبار الاختراق.
CVE-2026-63030 وCVE-2026-60137 Wp2shell Poc
ثغرة حرجة لـ"تنفيذ التعليمات البرمجية عن بُعد" دون مصادقة تؤثر على نواة ووردبريس (WordPress Core)
- wp2shell-scannerالماسح الضوئي
ماسح سلسلة الثغرات WordPress wp2shell لـ CVE-2026-63030 وCVE-2026-60137، مع كشف نشط، وPoC اختياري، وتصدير JSON.
- CVE-2026-63030-WP2Shellاستغلال
استغلال CVE-2026-63030 | بواسطة gr1tx
نسخة معدّلة بالكامل لفريق الهجوم (الأمن الهجومي) من wp2shell، تم بناؤها لأغراض اختبار الاختراق المصرّح به والتعليم.
- cve-2026-63030-labالبحث
wp2shell (CVE-2026-63030 & CVE-2026-60137) - سلسلة RCE كاملة
- wp2shell-detectالماسح الضوئي
كاشف غير تطفلي من النوع الصندوق الأسود لـ wp2shell (ثغرة RCE قبل المصادقة في نواة ووردبريس، CVE-2026-63030 / CVE-2026-60137). الكشف فقط.
PoC استغلال غير رسمي لـ CVE-2026-63030، مُجمَّع لسهولة الوصول؛ مُصمَّم للتحقق من الثغرات الأمنية، واختبار الأمان، والبحث.
إعادة إنتاج كاملة بلغة جافاسكريبت لـ CVE-2026-63030 (author_exclude، author__not_in واختلال التوافق بين عمليات التحقق والتطابقات)
إعادة إنتاج CVE: cve-2026-63030_60137-wordpress_rce_reproduction
- wp2shell-pocPoC
بوك (PoC) لثغرة تنفيذ الأكواد عن بُعد (RCE) في ووردبريس الضعيف القياسي لأداة wp2shell.
سلسلة استغلال لـ WordPress Core باستخدام التباس المسار (route-confusion) في REST API وحقن SQL لتحقيق تنفيذ كود عن بُعد (RCE) دون مصادقة، وتصعيد الامتيازات، والاستيلاء الكامل على الخادم.
استغلال إثبات المفهوم لـ CVE-2026-63030، يوضح الثغرة ويوفر خطوات إعادة الإنتاج لتقييم الأمان والتحقق منه.
- wp2shellPoC
CVE-2026-63030 + CVE-2026-60137+poc
- wp2shell-scannerاستغلال
CVE-2026-63030، CVE-2026-60137، ماسح wp2shell
- 1day-archiveالبحث
غوص تقني عميق وتحليلات للسبب الجذري لثغرات CVE المعلنة حديثًا - هندسة عكسية للتصحيحات، بناء إثباتات المفهوم، وتوثيق تقنيات الاستغلال في نافذة اليوم الواحد.
- CVE-2026-60137استغلال
wpsqli مستخرج SQLi كامل + مفرغ لـ CVE-2026-60137
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.