CVE-2026-63030

गंभीरप्रकाशित

WordPress < 7.0.2 - REST API बैच-रूट भ्रम और SQL इंजेक्शन समस्या जो रिमोट कोड निष्पादन (Remote Code Execution) की ओर ले जाती है

प्रकाशित: 17 जुल॰ 2026
अद्यतन: 7 अक्टू॰ 2026
सीएनए असाइन करना: WPScan
साक्ष्य देखे गए: 21 जुल॰ 2026

प्राथमिक सीवीएसएस

9.8/ 10गंभीर

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

ईपीएसएस संभाव्यता अनुमान

10.6%

मध्यम · अगले 30 दिन

प्रतिशत: 95.8%
मॉडल दिनांक: 17 अक्टू॰ 2026

ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।

सीआईएसए ज्ञात शोषण

यह सीवीई सीआईएसए ज्ञात शोषित कमजोरियों की सूची में दिखाई देता है।

सारांश

WordPress 6.9.5 से पहले के 6.9.x संस्करण और 7.0.2 से पहले के 7.0.x संस्करण REST API बैच एंडपॉइंट रूट कन्फ्यूज़न समस्या से प्रभावित हैं, जो author__not_in WP_Query SQL Injection (CVE-2026-60137) के साथ मिलकर किसी हमलावर को SQL Injection करने और Remote Code Execution प्राप्त करने की अनुमति दे सकती है।

स्रोत

रिपॉज़िटरी साक्ष्य: फ़ाइलें: 4 · रिपॉज़िटरी: 3

2 मॉड्यूल1 टेम्पलेट1 लैब

WordPress Core wp2shell Unauthenticated SQL Injection via REST Batch Route Confusionमॉड्यूल
modules/auxiliary/scanner/http/wordpress_wp2shell_sqli.rb
Metasploit Framework modules
पता लगानासाक्ष्य देखे गए: 25 सित॰ 2026संशोधन: b22ce1fbae63संबंधित टूल
घोषित शर्तें
- verification: check_declared($.auxiliary_scanner/http/wordpress_wp2shell_sqli.check)
WordPress Pre-Auth RCE via REST API Batch Route Confusion and SQL Injection (wp2shell)लैब
wordpress/CVE-2026-63030
WordPress Pre-Auth RCE via REST API Batch Route Confusion and SQL Injection (wp2shell, CVE-2026-63030 / CVE-2026-60137)
Vulhub vulnerability labs
अनुसंधानसाक्ष्य देखे गए: 25 सित॰ 2026संशोधन: 9b90d4276f84संबंधित टूल
घोषित शर्तें
- lab image version: vulhub/wordpress:6.9.4(wordpress/CVE-2026-63030/docker-compose.yml:services.web.image)
- lab image version: mysql:8.0(wordpress/CVE-2026-63030/docker-compose.yml:services.db.image)
WordPress WP2Shell REST API Batch Route Confusion SQLi to RCEमॉड्यूल
modules/exploits/multi/http/wp_batch_desync_rce.rb
Metasploit Framework modules
एक्सप्लॉइटसाक्ष्य देखे गए: 26 सित॰ 2026संशोधन: b22ce1fbae63संबंधित टूल
घोषित शर्तें
- platform: Linux,PHP,Unix($.exploit_multi/http/wp_batch_desync_rce.platform)
- verification: check_declared($.exploit_multi/http/wp_batch_desync_rce.check)
WordPress Core 6.9-7.0.1 - Pre-Auth Batch-Route Confusionटेम्पलेट
http/cves/2026/CVE-2026-63030.yaml
Nuclei Templates
पता लगानासाक्ष्य देखे गए: 26 सित॰ 2026संशोधन: 008731b339bdसंबंधित टूल
घोषित शर्तें
- network: http($.protocol_keys)
- verification: dsl,status,word($.matchers[*].type)

जिम्मेदारीपूर्ण उपयोग

भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।