zenithgenius/wordpress-batch-rce-labCVE-2026-63030 : désynchronisation de tableau sur l'endpoint batch REST de WordPress. Mécanisme, détection, atténuation et un laboratoire de reproduction sûr.
Une analyse technique de CVE-2026-63030, un bug logique dans le point de terminaison de traitement par lots de l'API REST du cœur de WordPress qui permet à une requête anonyme d'être traitée sous la route et la vérification d'autorisations d'une autre requête, s'enchaînant avec CVE-2026-60137 (injection SQL) pour une exécution de code à distance sans authentification sur une installation standard. Corrigé dans WordPress 7.0.2 / 6.9.5, juillet 2026.
Divulgation. Cette analyse et ce laboratoire ont été réalisés après le correctif public de WordPress et l'avis public de Searchlight Cyber. Le mécanisme de désynchronisation de tableaux est reproduit intégralement et en toute sécurité : il ne nécessite que des requêtes de type lecture pour être observé. La chaîne de l'injection SQL vers la RCE n'est décrite qu'au niveau du mécanisme ; aucun payload d'exploitation fonctionnel n'est publié ici.
WP_REST_Server::serve_batch_request_v1() désynchronise deux tableaux parallèles, le diff exact d'une ligne entre la version vulnérable 7.0.1 et la version corrigée 7.0.2, et une preuve en direct contre un WordPress réellement vulnérable.batch-rce-lab/. Docker Compose exécutant un WordPress 7.0.1 réel et vulnérable. Une preuve HTTP sûre bascule le serveur en cours d'exécution entre le code source vulnérable et le code corrigé et montre l'inversion de la réponse. Un modèle PHP autonome reproduit la désynchronisation sans aucun WordPress. Procédure complète dans batch-rce-lab/README.md.
Publié via GitHub Pages : https://zenithgenius.github.io/wordpress-batch-rce-lab/
Vulnérabilité découverte par Adam Kues, Assetnote (Searchlight Cyber), signalée via le programme HackerOne de WordPress. Analyse et laboratoire par Isaac Joumessi. Pour un usage éducatif et défensif uniquement.