WordPress · Core
CVE-2026-60137
WordPress < 7.0.2 - Facilitated SQL Injection via author__not_in in WP_Query
Что это
WordPress 6.8.x before 6.8.6, 6.9.x before 6.9.5, and 7.0.x before 7.0.2 does not properly sanitise the author__not_in parameter of WP_Query, which could allow SQL Injection when a plugin or theme passes untrusted input to the parameter.
CISA: WordPress Core contains a SQL injection vulnerability when a plugin or theme passes untrusted input to the parameter. This vulnerability can be chained with CVE-2026-63030 to allow an unauthenticated attacker to gain remote code execution on default WordPress installations.
Что делать
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Срок для федеральных ведомств США: 4 августа 2026 г.
Другие эксплуатируемые уязвимости WordPress
| Добавлено | Уязвимость | Продукт | Серьёзность | Вероятность атаки |
|---|---|---|---|---|
| 25 сент. 2026 г. | Remote File Inclusion | Core | Высокий 8,1 | 96% |
| 21 июл. 2026 г. | Interpretation Conflict | Core | Критическая 9,8 | 11% |
| 3 нояб. 2021 г. | Cross-Site Scripting (XSS) | Social Warfare Plugin | Средняя 6,1 | 73% |
| 3 нояб. 2021 г. | File Download | Snap Creek Duplicator Plugin | Высокий 7,5 | 98% |
| 3 нояб. 2021 г. | Remote Code Execution | File Manager Plugin | Критическая 10,0 | 97% |
Источники: Known Exploited Vulnerabilities (CISA, общественное достояние), CVE records (cve.org) и EPSS (FIRST). Вероятность атаки — оценка EPSS того, что кто-то попытается использовать уязвимость в ближайшие 30 дней.