CVE-2026-60137

СреднийОпубликовано

WordPress < 7.0.2 — упрощённая SQL-инъекция через author__not_in в WP_Query

Опубликовано: 17 июл. 2026 г.
Обновлено: 7 окт. 2026 г.
Назначение CNA: WPScan
Наблюдены доказательства: 21 июл. 2026 г.

Первичный CVSS

5,9/ 10Средний

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N

Оценка вероятности EPSS

5,3 %

Низкий · следующие 30 дней

Процентиль: 92,5 %
Дата модели: 15 окт. 2026 г.

EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.

CISA Известно, что эксплуатация

Эта CVE присутствует в каталоге известных эксплуатируемых уязвимостей CISA.

Резюме

WordPress 6.8.x до 6.8.6, 6.9.x до 6.9.5 и 7.0.x до 7.0.2 не выполняет надлежащую очистку параметра author__not_in в WP_Query, что может привести к SQL-инъекции, когда плагин или тема передаёт непроверенные данные в этот параметр.

Источники

Данные репозиториев: Файлы: 3 · Репозитории: 2

2 Модуль1 Лаборатория

WordPress Core wp2shell Unauthenticated SQL Injection via REST Batch Route ConfusionМодуль
modules/auxiliary/scanner/http/wordpress_wp2shell_sqli.rb
Metasploit Framework modules
ОбнаружениеНаблюдены доказательства: 25 сент. 2026 г.Ревизия: b22ce1fbae63Связанный инструмент
Заявленные условия
- verification: check_declared($.auxiliary_scanner/http/wordpress_wp2shell_sqli.check)
WordPress Pre-Auth RCE via REST API Batch Route Confusion and SQL Injection (wp2shell)Лаборатория
wordpress/CVE-2026-63030
WordPress Pre-Auth RCE via REST API Batch Route Confusion and SQL Injection (wp2shell, CVE-2026-63030 / CVE-2026-60137)
Vulhub vulnerability labs
ИсследованияНаблюдены доказательства: 25 сент. 2026 г.Ревизия: 8fd63916f7a8Связанный инструмент
Заявленные условия
- lab image version: vulhub/wordpress:6.9.4(wordpress/CVE-2026-63030/docker-compose.yml:services.web.image)
- lab image version: mysql:8.0(wordpress/CVE-2026-63030/docker-compose.yml:services.db.image)
WordPress WP2Shell REST API Batch Route Confusion SQLi to RCEМодуль
modules/exploits/multi/http/wp_batch_desync_rce.rb
Metasploit Framework modules
ЭксплойтНаблюдены доказательства: 26 сент. 2026 г.Ревизия: b22ce1fbae63Связанный инструмент
Заявленные условия
- platform: Linux,PHP,Unix($.exploit_multi/http/wp_batch_desync_rce.platform)
- verification: check_declared($.exploit_multi/http/wp_batch_desync_rce.check)

Ответственное использование

Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.