CVE-2026-63030

CríticoPublicado

WordPress < 7.0.2 - Confusión de ruta por lotes en la API REST y problema de inyección SQL que conducen a ejecución remota de código

Publicado: 17 jul 2026
Actualizado: 7 oct 2026
Asignación de CNA: WPScan
Evidencia observada: 21 jul 2026

CVSS primario

9,8/ 10Crítico

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Estimación de probabilidad EPSS

10,6 %

Moderado · próximos 30 días

Percentil: 95,8 %
Fecha del modelo: 15 oct 2026

EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.

CISA conocida explotada

Este CVE aparece en el catálogo de vulnerabilidades explotadas conocidas de CISA.

Resumen

Las instancias de WordPress 6.9.x anteriores a 6.9.5 y 7.0.x anteriores 7.0.2 están afectadas por un problema de confusión en el enrutamiento del endpoint batch de la API REST que, combinado con una vulnerabilidad de inyeccción SQL en author__not_in en WP_Query (CVE-2026-60137), permite que un atacante realice una inyección SQL y logre ejecución remota de código (RCE).

Fuentes

Evidencia de repositorios: Archivos: 4 · Repositorios: 3

2 Módulo1 Plantilla1 Laboratorio

WordPress Core wp2shell Unauthenticated SQL Injection via REST Batch Route ConfusionMódulo
modules/auxiliary/scanner/http/wordpress_wp2shell_sqli.rb
Metasploit Framework modules
DetecciónEvidencia observada: 25 sept 2026Revisión: b22ce1fbae63Herramienta relacionada
Condiciones declaradas
- verification: check_declared($.auxiliary_scanner/http/wordpress_wp2shell_sqli.check)
WordPress Pre-Auth RCE via REST API Batch Route Confusion and SQL Injection (wp2shell)Laboratorio
wordpress/CVE-2026-63030
WordPress Pre-Auth RCE via REST API Batch Route Confusion and SQL Injection (wp2shell, CVE-2026-63030 / CVE-2026-60137)
Vulhub vulnerability labs
InvestigaciónEvidencia observada: 25 sept 2026Revisión: 8fd63916f7a8Herramienta relacionada
Condiciones declaradas
- lab image version: vulhub/wordpress:6.9.4(wordpress/CVE-2026-63030/docker-compose.yml:services.web.image)
- lab image version: mysql:8.0(wordpress/CVE-2026-63030/docker-compose.yml:services.db.image)
WordPress WP2Shell REST API Batch Route Confusion SQLi to RCEMódulo
modules/exploits/multi/http/wp_batch_desync_rce.rb
Metasploit Framework modules
ExploitEvidencia observada: 26 sept 2026Revisión: b22ce1fbae63Herramienta relacionada
Condiciones declaradas
- platform: Linux,PHP,Unix($.exploit_multi/http/wp_batch_desync_rce.platform)
- verification: check_declared($.exploit_multi/http/wp_batch_desync_rce.check)
WordPress Core 6.9-7.0.1 - Pre-Auth Batch-Route ConfusionPlantilla
http/cves/2026/CVE-2026-63030.yaml
Nuclei Templates
DetecciónEvidencia observada: 26 sept 2026Revisión: 17f5725dc10cHerramienta relacionada
Condiciones declaradas
- network: http($.protocol_keys)
- verification: dsl,status,word($.matchers[*].type)

Uso responsable

Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.

Resumen

Fuentes

Evidencia de repositorios: Archivos: 4 · Repositorios: 3

2 Módulo1 Plantilla1 Laboratorio

WordPress Core wp2shell Unauthenticated SQL Injection via REST Batch Route ConfusionMódulo
modules/auxiliary/scanner/http/wordpress_wp2shell_sqli.rb
Metasploit Framework modules
DetecciónEvidencia observada: 25 sept 2026Revisión: b22ce1fbae63Herramienta relacionada
Condiciones declaradas
- verification: check_declared($.auxiliary_scanner/http/wordpress_wp2shell_sqli.check)
WordPress Pre-Auth RCE via REST API Batch Route Confusion and SQL Injection (wp2shell)Laboratorio
wordpress/CVE-2026-63030
WordPress Pre-Auth RCE via REST API Batch Route Confusion and SQL Injection (wp2shell, CVE-2026-63030 / CVE-2026-60137)
Vulhub vulnerability labs
InvestigaciónEvidencia observada: 25 sept 2026Revisión: 8fd63916f7a8Herramienta relacionada
Condiciones declaradas
- lab image version: vulhub/wordpress:6.9.4(wordpress/CVE-2026-63030/docker-compose.yml:services.web.image)
- lab image version: mysql:8.0(wordpress/CVE-2026-63030/docker-compose.yml:services.db.image)
WordPress WP2Shell REST API Batch Route Confusion SQLi to RCEMódulo
modules/exploits/multi/http/wp_batch_desync_rce.rb
Metasploit Framework modules
ExploitEvidencia observada: 26 sept 2026Revisión: b22ce1fbae63Herramienta relacionada
Condiciones declaradas
- platform: Linux,PHP,Unix($.exploit_multi/http/wp_batch_desync_rce.platform)
- verification: check_declared($.exploit_multi/http/wp_batch_desync_rce.check)
WordPress Core 6.9-7.0.1 - Pre-Auth Batch-Route ConfusionPlantilla
http/cves/2026/CVE-2026-63030.yaml
Nuclei Templates
DetecciónEvidencia observada: 26 sept 2026Revisión: 17f5725dc10cHerramienta relacionada
Condiciones declaradas
- network: http($.protocol_keys)
- verification: dsl,status,word($.matchers[*].type)