CVE-2026-60137

मध्यमप्रकाशित

WordPress < 7.0.2 - WP_Query में author__not_in के माध्यम से सुगम SQL इंजेक्शन

प्रकाशित: 17 जुल॰ 2026
अद्यतन: 7 अक्टू॰ 2026
सीएनए असाइन करना: WPScan
साक्ष्य देखे गए: 21 जुल॰ 2026

प्राथमिक सीवीएसएस

5.9/ 10मध्यम

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N

ईपीएसएस संभाव्यता अनुमान

5.3%

कम · अगले 30 दिन

प्रतिशत: 92.5%
मॉडल दिनांक: 17 अक्टू॰ 2026

ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।

सीआईएसए ज्ञात शोषण

यह सीवीई सीआईएसए ज्ञात शोषित कमजोरियों की सूची में दिखाई देता है।

सारांश

WordPress 6.8.x से पहले 6.8.6, 6.9.x से पहले 6.9.5, और 7.0.x से पहले 7.0.2 WP_Query के author__not_in पैरामीटर को सही ढंग से सैनिटाइज़ नहीं करते हैं, जिससे जब कोई plugin या theme उस पैरामीटर में अविश्वसनीय इनपुट पास करता है तो SQL Injection की अनुमति मिल सकती है।

स्रोत

रिपॉज़िटरी साक्ष्य: फ़ाइलें: 3 · रिपॉज़िटरी: 2

2 मॉड्यूल1 लैब

WordPress Core wp2shell Unauthenticated SQL Injection via REST Batch Route Confusionमॉड्यूल
modules/auxiliary/scanner/http/wordpress_wp2shell_sqli.rb
Metasploit Framework modules
पता लगानासाक्ष्य देखे गए: 25 सित॰ 2026संशोधन: b22ce1fbae63संबंधित टूल
घोषित शर्तें
- verification: check_declared($.auxiliary_scanner/http/wordpress_wp2shell_sqli.check)
WordPress Pre-Auth RCE via REST API Batch Route Confusion and SQL Injection (wp2shell)लैब
wordpress/CVE-2026-63030
WordPress Pre-Auth RCE via REST API Batch Route Confusion and SQL Injection (wp2shell, CVE-2026-63030 / CVE-2026-60137)
Vulhub vulnerability labs
अनुसंधानसाक्ष्य देखे गए: 25 सित॰ 2026संशोधन: 9b90d4276f84संबंधित टूल
घोषित शर्तें
- lab image version: vulhub/wordpress:6.9.4(wordpress/CVE-2026-63030/docker-compose.yml:services.web.image)
- lab image version: mysql:8.0(wordpress/CVE-2026-63030/docker-compose.yml:services.db.image)
WordPress WP2Shell REST API Batch Route Confusion SQLi to RCEमॉड्यूल
modules/exploits/multi/http/wp_batch_desync_rce.rb
Metasploit Framework modules
एक्सप्लॉइटसाक्ष्य देखे गए: 26 सित॰ 2026संशोधन: b22ce1fbae63संबंधित टूल
घोषित शर्तें
- platform: Linux,PHP,Unix($.exploit_multi/http/wp_batch_desync_rce.platform)
- verification: check_declared($.exploit_multi/http/wp_batch_desync_rce.check)

जिम्मेदारीपूर्ण उपयोग

भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।