Описание
WordPress 6.9.x before 6.9.5 and 7.0.x before 7.0.2 is affected by a REST API batch endpoint route confusion issue which, combined with the author__not_in WP_Query SQL Injection (CVE-2026-60137), could allow an attacker to perform SQL Injection and achieve Remote Code Execution.
Пакеты
| Пакет | Статус | Версия исправления | Релиз | Тип |
|---|---|---|---|---|
| wordpress | fixed | 7.0.2+dfsg1-1 | package | |
| wordpress | not-affected | trixie | package | |
| wordpress | not-affected | bookworm | package | |
| wordpress | not-affected | bullseye | package |
Примечания
https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-ff9f-jf42-662q
https://wordpress.org/news/2026/07/wordpress-7-0-2-release/
https://github.com/WordPress/wordpress-develop/commit/85015b84fbc52bf6151a691299896b8971772594 (7.0.2)
https://github.com/WordPress/wordpress-develop/commit/c8bdf1fa12355f79db94054d307d0e3898b501c9 (7.0.2)
https://github.com/WordPress/wordpress-develop/commit/6f2074dda61864a03f334d70414d1690ce7e5c79 (6.9.5)
The error handling in the problematic function is different in 6.8 and below.
Связанные уязвимости
WordPress 6.9.x before 6.9.5 and 7.0.x before 7.0.2 is affected by a REST API batch endpoint route confusion issue which, combined with the author__not_in WP_Query SQL Injection (CVE-2026-60137), could allow an attacker to perform SQL Injection and achieve Remote Code Execution.
Уязвимость функции get_items() системы управления содержимым сайта WordPress, позволяющая нарушителю обойти ограничения безопасности, выполнить произвольный код и получить несанкционированный доступ к защищаемой информации
Уязвимость класса WP_Query системы управления содержимым сайта WordPress, позволяющая нарушителю выполнить произвольный код и получить несанкционированный доступ к конфиденциальной информации