CVE-2026-63030

CriticoPubblicato

WordPress < 7.0.2 - confusione delle rotte batch dell'API REST e problema di SQL injection che porta all'esecuzione remota di codice

Pubblicato: 17 lug 2026
Aggiornato: 7 ott 2026
Assegnazione CNA: WPScan
Evidenza osservata: 21 lug 2026

CVSS primario

9,8/ 10Critico

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Stima della probabilità EPSS

10,6%

Moderato · prossimi 30 giorni

Percentile: 95,8%
Data del modello: 15 ott 2026

L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.

CISA noto sfruttato

Questo CVE appare nel catalogo CISA delle vulnerabilità sfruttate note.

Riepilogo

WordPress 6.9.x precedente alla 6.9.5 e 7.0.x precedente alla 7.0.2 è affetto da un problema di confusione delle route nell'endpoint batch dell'API REST che, combinato con l'iniezione SQL in WP_Query tramite author__not_in (CVE-2026-60137), potrebbe consentire a un attaccante di effettuare un'iniezione SQL e ottenere l'esecuzione remota di codice.

Fonti

Evidenze dei repository: File: 4 · Repository: 3

2 Modulo1 Modello1 Laboratorio

WordPress Core wp2shell Unauthenticated SQL Injection via REST Batch Route ConfusionModulo
modules/auxiliary/scanner/http/wordpress_wp2shell_sqli.rb
Metasploit Framework modules
RilevamentoEvidenza osservata: 25 set 2026Revisione: b22ce1fbae63Strumento correlato
Condizioni dichiarate
- verification: check_declared($.auxiliary_scanner/http/wordpress_wp2shell_sqli.check)
WordPress Pre-Auth RCE via REST API Batch Route Confusion and SQL Injection (wp2shell)Laboratorio
wordpress/CVE-2026-63030
WordPress Pre-Auth RCE via REST API Batch Route Confusion and SQL Injection (wp2shell, CVE-2026-63030 / CVE-2026-60137)
Vulhub vulnerability labs
RicercaEvidenza osservata: 25 set 2026Revisione: 8fd63916f7a8Strumento correlato
Condizioni dichiarate
- lab image version: vulhub/wordpress:6.9.4(wordpress/CVE-2026-63030/docker-compose.yml:services.web.image)
- lab image version: mysql:8.0(wordpress/CVE-2026-63030/docker-compose.yml:services.db.image)
WordPress WP2Shell REST API Batch Route Confusion SQLi to RCEModulo
modules/exploits/multi/http/wp_batch_desync_rce.rb
Metasploit Framework modules
ExploitEvidenza osservata: 26 set 2026Revisione: b22ce1fbae63Strumento correlato
Condizioni dichiarate
- platform: Linux,PHP,Unix($.exploit_multi/http/wp_batch_desync_rce.platform)
- verification: check_declared($.exploit_multi/http/wp_batch_desync_rce.check)
WordPress Core 6.9-7.0.1 - Pre-Auth Batch-Route ConfusionModello
http/cves/2026/CVE-2026-63030.yaml
Nuclei Templates
RilevamentoEvidenza osservata: 26 set 2026Revisione: 17f5725dc10cStrumento correlato
Condizioni dichiarate
- network: http($.protocol_keys)
- verification: dsl,status,word($.matchers[*].type)

Utilizzo responsabile

Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.

Riepilogo

Fonti

Evidenze dei repository: File: 4 · Repository: 3

2 Modulo1 Modello1 Laboratorio

WordPress Core wp2shell Unauthenticated SQL Injection via REST Batch Route ConfusionModulo
modules/auxiliary/scanner/http/wordpress_wp2shell_sqli.rb
Metasploit Framework modules
RilevamentoEvidenza osservata: 25 set 2026Revisione: b22ce1fbae63Strumento correlato
Condizioni dichiarate
- verification: check_declared($.auxiliary_scanner/http/wordpress_wp2shell_sqli.check)
WordPress Pre-Auth RCE via REST API Batch Route Confusion and SQL Injection (wp2shell)Laboratorio
wordpress/CVE-2026-63030
WordPress Pre-Auth RCE via REST API Batch Route Confusion and SQL Injection (wp2shell, CVE-2026-63030 / CVE-2026-60137)
Vulhub vulnerability labs
RicercaEvidenza osservata: 25 set 2026Revisione: 8fd63916f7a8Strumento correlato
Condizioni dichiarate
- lab image version: vulhub/wordpress:6.9.4(wordpress/CVE-2026-63030/docker-compose.yml:services.web.image)
- lab image version: mysql:8.0(wordpress/CVE-2026-63030/docker-compose.yml:services.db.image)
WordPress WP2Shell REST API Batch Route Confusion SQLi to RCEModulo
modules/exploits/multi/http/wp_batch_desync_rce.rb
Metasploit Framework modules
ExploitEvidenza osservata: 26 set 2026Revisione: b22ce1fbae63Strumento correlato
Condizioni dichiarate
- platform: Linux,PHP,Unix($.exploit_multi/http/wp_batch_desync_rce.platform)
- verification: check_declared($.exploit_multi/http/wp_batch_desync_rce.check)
WordPress Core 6.9-7.0.1 - Pre-Auth Batch-Route ConfusionModello
http/cves/2026/CVE-2026-63030.yaml
Nuclei Templates
RilevamentoEvidenza osservata: 26 set 2026Revisione: 17f5725dc10cStrumento correlato
Condizioni dichiarate
- network: http($.protocol_keys)
- verification: dsl,status,word($.matchers[*].type)