WordPress REST API批处理路由混淆与SQL注入组合利用安全风险通告

01

漏洞详情

>>>>

影响组件

WordPress 是一款使用 PHP 语言开发的开源内容管理系统（CMS），自2003年发布以来已成为全球使用最广泛的网站构建平台。它提供了丰富的主题和插件生态系统，支持博客、企业官网、电商平台等多种场景。WordPress 内置 REST API，允许开发者通过 HTTP 请求与站点进行数据交互，实现前后端分离、移动应用对接及第三方服务集成。其批量请求端点（/wp-json/batch/v1）自5.6版本起内置，用于将多个子请求打包为单次 HTTP 调用以提升性能。

>>>>

漏洞描述

近日，奇安信 CERT 监测到 WordPress 官方修复了 REST API 批处理路由混淆漏洞(CVE-2026-63030)。该漏洞源于 REST API批处理端点在处理嵌套请求时存在路由解析混淆问题，攻击者可通过构造特制请求绕过端点验证机制。当该漏洞与 WP_Query 参数 SQL 注入漏洞(CVE-2026-60137)组合利用时，未经身份认证的远程攻击者可实现无需密码破解的远程代码执行。攻击者利用 SQL 注入伪造查询结果，触发 WordPress oEmbed 和 Customizer 功能在数据库中植入恶意数据，进而以管理员身份创建新用户，最终通过上传恶意插件完全接管目标站点。目前该漏洞PoC和技术细节已公开。鉴于该漏洞无需登录即可触发，且影响范围覆盖默认安装的 WordPress 环境，建议客户尽快做好自查及防护。

>>>>

利用条件

目标站点的 REST API 接口处于开启状态（WordPress 默认开启）。

02

影响范围

>>>>

影响版本

WordPress 6.8.x < 6.8.6

仅受关联 SQL 注入漏洞（CVE-2026-60137）影响。

WordPress 6.9.x < 6.9.5

受 CVE-2026-63030 与 CVE-2026-60137 影响。

WordPress 7.0.x < 7.0.2

受 CVE-2026-63030 与 CVE-2026-60137 影响。

WordPress 7.1 Beta1

受 CVE-2026-63030 与 CVE-2026-60137 影响。

>>>>

其他受影响组件

无

03

复现情况

目前，奇安信CERT已成功复现WordPress REST API 批处理路由混淆远程代码执行漏洞(CVE-2026-63030)与WordPress REST API 批处理路由混淆与 SQL 注入组合利用，截图如下：

04

受影响资产情况

奇安信鹰图资产测绘平台数据显示，WordPress REST API 批处理路由混淆远程代码执行漏洞(CVE-2026-63030)关联的全球风险资产总数为1555634个，关联IP总数为470369个。全球风险资产分布情况如下：

05

处置建议

>>>>

安全更新

目前官方已发布安全更新，建议用户尽快升级至最新版本：

WordPress 6.9.* >= 6.9.5

WordPress 7.0.* >= 7.0.2

WordPress 7.1.* >= 7.1 Beta2

官方已开启自动强制更新，站点可通过后台「仪表盘-更新」功能一键更新，或下载官方最新安装包手动升级。

官方补丁下载地址：

https://wordpress.org/news/2026/07/wordpress-7-0-2-release/

修复缓解措施：

安装可禁用未认证用户访问 REST API 的插件（如“Disable WP REST API”）。临时关闭全站未授权 REST API 访问权限。*此方法可能影响依赖 REST API 的合法功能，需评估兼容性风险。

06

参考资料

[1]https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-ff9f-jf42-662q

[2]https://wp2shell.com/

[3]https://slcyber.io/research-center/wp2shell-pre-authentication-rce-in-wordpress-core/

[4]https://wordpress.org/news/2026/07/wordpress-7-0-2-release/

声明：本文来自奇安信 CERT，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。