CVE-2026-63030
WordPress < 7.0.2 - confusione delle rotte batch dell'API REST e problema di SQL injection che porta all'esecuzione remota di codice
- Pubblicato
- 17 lug 2026
- Aggiornato
- 22 lug 2026
- Assegnazione CNA
- WPScan
- Evidenza osservata
- 21 lug 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HAlto · prossimi 30 giorni
- Percentile
- 99,9%
- Data del modello
- 21 set 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
CISA noto sfruttato
Questo CVE appare nel catalogo CISA delle vulnerabilità sfruttate note.
Riepilogo
WordPress 6.9.x precedente alla 6.9.5 e 7.0.x precedente alla 7.0.2 è affetto da un problema di confusione delle route nell'endpoint batch dell'API REST che, combinato con l'iniezione SQL in WP_Query tramite author__not_in (CVE-2026-60137), potrebbe consentire a un attaccante di effettuare un'iniezione SQL e ottenere l'esecuzione remota di codice.
Fonti
69- CVE-2026-63030Informativo
CVE-2026-63030
- CVE-2026-63030Exploit
Exploit proof-of-concept per la vulnerabilità CVE-2026-63030, che dimostra tecniche di sfruttamento per ricerca e test di sicurezza.
- wp2shellExploit
CVE-2026-63030 + CVE-2026-60137 - “wp2shell”: RCE non autenticata nel core di WordPress
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.