CVE-2026-60137

MedioPubblicato

WordPress < 7.0.2 - Iniezione SQL facilitata tramite author__not_in in WP_Query

Pubblicato: 17 lug 2026
Aggiornato: 7 ott 2026
Assegnazione CNA: WPScan
Evidenza osservata: 21 lug 2026

CVSS primario

5,9/ 10Medio

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N

Stima della probabilità EPSS

5,3%

Basso · prossimi 30 giorni

Percentile: 92,5%
Data del modello: 15 ott 2026

L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.

CISA noto sfruttato

Questo CVE appare nel catalogo CISA delle vulnerabilità sfruttate note.

Riepilogo

WordPress 6.8.x prima della 6.8.6, 6.9.x prima della 6.9.5 e 7.0.x prima della 7.0.2 non sanifica correttamente il parametro author__not_in di WP_Query, che potrebbe consentire SQL Injection quando un plugin o un tema passa input non attendibile al parametro.

Fonti

Evidenze dei repository: File: 3 · Repository: 2

2 Modulo1 Laboratorio

WordPress Core wp2shell Unauthenticated SQL Injection via REST Batch Route ConfusionModulo
modules/auxiliary/scanner/http/wordpress_wp2shell_sqli.rb
Metasploit Framework modules
RilevamentoEvidenza osservata: 25 set 2026Revisione: b22ce1fbae63Strumento correlato
Condizioni dichiarate
- verification: check_declared($.auxiliary_scanner/http/wordpress_wp2shell_sqli.check)
WordPress Pre-Auth RCE via REST API Batch Route Confusion and SQL Injection (wp2shell)Laboratorio
wordpress/CVE-2026-63030
WordPress Pre-Auth RCE via REST API Batch Route Confusion and SQL Injection (wp2shell, CVE-2026-63030 / CVE-2026-60137)
Vulhub vulnerability labs
RicercaEvidenza osservata: 25 set 2026Revisione: 8fd63916f7a8Strumento correlato
Condizioni dichiarate
- lab image version: vulhub/wordpress:6.9.4(wordpress/CVE-2026-63030/docker-compose.yml:services.web.image)
- lab image version: mysql:8.0(wordpress/CVE-2026-63030/docker-compose.yml:services.db.image)
WordPress WP2Shell REST API Batch Route Confusion SQLi to RCEModulo
modules/exploits/multi/http/wp_batch_desync_rce.rb
Metasploit Framework modules
ExploitEvidenza osservata: 26 set 2026Revisione: b22ce1fbae63Strumento correlato
Condizioni dichiarate
- platform: Linux,PHP,Unix($.exploit_multi/http/wp_batch_desync_rce.platform)
- verification: check_declared($.exploit_multi/http/wp_batch_desync_rce.check)

Utilizzo responsabile

Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.

Fonti

Evidenze dei repository: File: 3 · Repository: 2

2 Modulo1 Laboratorio

WordPress Core wp2shell Unauthenticated SQL Injection via REST Batch Route ConfusionModulo
modules/auxiliary/scanner/http/wordpress_wp2shell_sqli.rb
Metasploit Framework modules
RilevamentoEvidenza osservata: 25 set 2026Revisione: b22ce1fbae63Strumento correlato
Condizioni dichiarate
- verification: check_declared($.auxiliary_scanner/http/wordpress_wp2shell_sqli.check)
WordPress Pre-Auth RCE via REST API Batch Route Confusion and SQL Injection (wp2shell)Laboratorio
wordpress/CVE-2026-63030
WordPress Pre-Auth RCE via REST API Batch Route Confusion and SQL Injection (wp2shell, CVE-2026-63030 / CVE-2026-60137)
Vulhub vulnerability labs
RicercaEvidenza osservata: 25 set 2026Revisione: 8fd63916f7a8Strumento correlato
Condizioni dichiarate
- lab image version: vulhub/wordpress:6.9.4(wordpress/CVE-2026-63030/docker-compose.yml:services.web.image)
- lab image version: mysql:8.0(wordpress/CVE-2026-63030/docker-compose.yml:services.db.image)
WordPress WP2Shell REST API Batch Route Confusion SQLi to RCEModulo
modules/exploits/multi/http/wp_batch_desync_rce.rb
Metasploit Framework modules
ExploitEvidenza osservata: 26 set 2026Revisione: b22ce1fbae63Strumento correlato
Condizioni dichiarate
- platform: Linux,PHP,Unix($.exploit_multi/http/wp_batch_desync_rce.platform)
- verification: check_declared($.exploit_multi/http/wp_batch_desync_rce.check)