2026-08-19 04:36:36 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

文章总结： WordPressRESTAPI存在两个高危漏洞组合利用(CVE-2026-63030和CVE-2026-60137)，攻击者无需认证即可通过路由混淆绕过权限检查，结合SQL注入提取用户密码哈希，进而登录高权限账户实现远程代码执行，完全控制服务器。影响WordPress6.8.0至7.0.2版本，官方已发布安全更新，建议立即升级至7.0.2或更高版本，并可通过WAF阻断/batch/v1路径作为临时缓解措施。 综合评分： 87 文章分类： 漏洞预警,解决方案,漏洞分析,WEB安全

cover_image

【已复现】漏洞通告 | 无需账号密码即可RCE——WordPress REST API批处理路由混淆与SQL注入组合利用(CVE-2026-63030&CVE-2026-60137)

安全实验室安全实验室

中成信息

2026年7月20日 10:24 福建

在小说阅读器读本章

去阅读

漏洞描述

WordPress REST API批处理路由混淆远程代码执行漏洞（CVE-2026-63030）与SQL注入组合利用是一种严重的网络安全威胁。攻击者通过构造针对WordPress REST API /batch/v1端点的恶意请求，利用路由混淆漏洞绕过权限检查，将请求路由到存在SQL注入的端点（如 /wp/v2/users），进而执行恶意 SQL 查询，提取数据库中的用户密码哈希。若成功破解密码，攻击者可登录高权限账户，结合WordPress后台功能（如主题/插件编辑、文件上传等）实现远程代码执行，完全控制服务器，无需认证即可利用。

影响范围

6.8.0 <= WordPress < 6.8.6（仅受 CVE-2026-60137 影响）

6.9.0 <= WordPress < 6.9.5

7.0.0 <= WordPress < 7.0.2

漏洞详情

漏洞复现

中成信息安全实验室已复现WordPress REST API 批处理路由混淆远程代码执行漏洞(CVE-2026-63030)与WordPress REST API 批处理路由混淆与 SQL 注入组合利用，验证如下。

修复建议

目前官方已发布安全更新，建议用户尽快升级至最新版本：

WordPress 6.9.* >= 6.9.5

WordPress 7.0.* >= 7.0.2

WordPress 7.1.* >= 7.1 Beta2

官方已开启自动强制更新，站点可通过后台「仪表盘-更新」功能一键更新，或下载官方最新安装包手动升级。

官方补丁下载地址：

WordPress 7.0.2 Release

临时缓解措施：

1、安装可禁用未认证用户访问 REST API 的插件。

2、临时关闭全站未授权 REST API 访问权限。

3、临时阻止匿名用户访问 WordPress REST Batch API：在 WAF 同时阻断请求路径 /wp-json/batch/v1 和查询参数 rest_route=/batch/v1。

关于我们

漳州中成信息科技有限公司是一家专注于网络安全实战防护的创新型服务提供商。我们深刻理解网络安全的核心在于攻防对抗的持续较量，并以此独特视角为基石，致力于为客户构建动态、主动、智能化的纵深防御体系。区别于传统的被动防御，我们坚信“未知攻，焉知防”。公司汇聚了顶尖的渗透测试专家（红队）、应急处置精英（蓝队）及经验丰富的安全服务工程师，形成了一支具备完整攻防对抗能力的专业团队。我们的渗透测试团队模拟真实攻击者的思维与手段，深入挖掘系统、应用及网络中的深层次漏洞与风险点；应急处置团队则能在安全事件发生时快速响应、精准定位、有效遏制损失并溯源根因；安服工程师团队则致力于将攻防对抗中获得的宝贵经验转化为常态化的安全策略、加固措施与运营流程。

点击名片

关注我们

扫描官网二维码

了解更多

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：中成信息安全实验室安全实验室《【已复现】漏洞通告 | 无需账号密码即可RCE——WordPress REST API批处理路由混淆与SQL注入组合利用(CVE-2026-63030&CVE-2026-60137)》