文章总结： 奇安信CERT披露WordPressRESTAPI批处理路由混淆与SQL注入组合漏洞CVE-2026-63030，无需认证即可远程代码执行，影响WordPress6.8至7.1版本，PoC已公开，建议升级至最新版本或禁用未认证RESTAPI访问。 综合评分： 85 文章分类： 漏洞分析,应急响应,漏洞预警,解决方案,安全工具

【已复现】无需账号密码即可 RCE——WordPress REST API 批处理路由混淆与 SQL 注入组合利用安全风险通告

奇安信 CERT

2026年7月19日 10:09 江苏

在小说阅读器读本章

去阅读

● 点击↑蓝字关注我们，获取更多安全风险通告

| | | | | | — | — | — | — | | 漏洞概述 | | | | | 漏洞名称 | WordPress REST API 批处理路由混淆远程代码执行漏洞 | | | | 漏洞编号 | QVD-2026-42340，CVE-2026-63030 | | | | 公开时间 | 2026-07-17 | 影响量级 | 千万级 | | 奇安信评级 | 高危 | CVSS 3.1分数 | 9.8 | | 威胁类型 | 代码执行 | 利用可能性 | 高 | | POC状态 | 已公开 | 在野利用状态 | 未发现 | | EXP状态 | 未公开 | 技术细节状态 | 已公开 | | 危害描述：攻击者可在未认证条件下利用组合漏洞通过 SQL 注入伪造查询结果，触发 WordPress内置功能（oEmbed、Customizer）在数据库中植入恶意数据，进而以管理员身份直接创建特权用户，无需密码破解即可登录WordPress 后台并通过插件上传实现远程代码执行，导致站点被完全接管、敏感数据泄露、恶意代码植入或被用作攻击跳板。 | | | |

01

漏洞详情

>>>>

影响组件

WordPress 是一款使用 PHP 语言开发的开源内容管理系统（CMS），自2003年发布以来已成为全球使用最广泛的网站构建平台。它提供了丰富的主题和插件生态系统，支持博客、企业官网、电商平台等多种场景。WordPress 内置 REST API，允许开发者通过 HTTP 请求与站点进行数据交互，实现前后端分离、移动应用对接及第三方服务集成。其批量请求端点（/wp-json/batch/v1）自5.6版本起内置，用于将多个子请求打包为单次 HTTP 调用以提升性能。

>>>>

漏洞描述

近日，奇安信 CERT 监测到 WordPress 官方修复了 REST API 批处理路由混淆漏洞(CVE-2026-63030)。该漏洞源于 REST API批处理端点在处理嵌套请求时存在路由解析混淆问题，攻击者可通过构造特制请求绕过端点验证机制。当该漏洞与 WP_Query 参数 SQL 注入漏洞(CVE-2026-60137)组合利用时，未经身份认证的远程攻击者可实现无需密码破解的远程代码执行。攻击者利用 SQL 注入伪造查询结果，触发 WordPress oEmbed 和 Customizer 功能在数据库中植入恶意数据，进而以管理员身份创建新用户，最终通过上传恶意插件完全接管目标站点。目前该漏洞PoC和技术细节已公开。鉴于该漏洞无需登录即可触发，且影响范围覆盖默认安装的 WordPress 环境，建议客户尽快做好自查及防护。

>>>>

利用条件

目标站点的 REST API 接口处于开启状态（WordPress 默认开启）。

02

影响范围

>>>>

影响版本

WordPress 6.8.x < 6.8.6

仅受关联 SQL 注入漏洞（CVE-2026-60137）影响。

WordPress 6.9.x < 6.9.5

受 CVE-2026-63030 与 CVE-2026-60137 影响。

WordPress 7.0.x < 7.0.2

受 CVE-2026-63030 与 CVE-2026-60137 影响。

WordPress 7.1 Beta1

受 CVE-2026-63030 与 CVE-2026-60137 影响。

>>>>

其他受影响组件

无

03

复现情况

目前，奇安信CERT已成功复现WordPress REST API 批处理路由混淆远程代码执行漏洞(CVE-2026-63030)与WordPress REST API 批处理路由混淆与 SQL 注入组合利用，截图如下：

04

受影响资产情况

奇安信鹰图资产测绘平台数据显示，WordPress REST API 批处理路由混淆远程代码执行漏洞(CVE-2026-63030)关联的全球风险资产总数为1555634个，关联IP总数为470369个。全球风险资产分布情况如下：

05

处置建议

>>>>

安全更新

目前官方已发布安全更新，建议用户尽快升级至最新版本：

WordPress 6.9.* >= 6.9.5

WordPress 7.0.* >= 7.0.2

WordPress 7.1.* >= 7.1 Beta2

官方已开启自动强制更新，站点可通过后台「仪表盘-更新」功能一键更新，或下载官方最新安装包手动升级。

官方补丁下载地址：

WordPress 7.0.2 Release

修复缓解措施：

安装可禁用未认证用户访问 REST API 的插件（如“Disable WP REST API”）。临时关闭全站未授权 REST API 访问权限。*此方法可能影响依赖 REST API 的合法功能，需评估兼容性风险。

06

参考资料

[1]https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-ff9f-jf42-662q

[2]https://wp2shell.com/

[3]https://slcyber.io/research-center/wp2shell-pre-authentication-rce-in-wordpress-core/

[4]https://wordpress.org/news/2026/07/wordpress-7-0-2-release/

07

时间线

2026年07月19日，奇安信 CERT发布安全风险通告。

08

漏洞情报服务

「奇安信漏洞情报平台」重磅上线，诚邀您来体验：

奇安信 CERT

致力于第一时间为企业级用户提供权威漏洞情报和有效解决方案。

点击↓阅读原文，到ALPHA威胁分析平台订阅更多漏洞信息。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：奇安信 CERT 《【已复现】无需账号密码即可 RCE——WordPress REST API 批处理路由混淆与 SQL 注入组合利用安全风险通告》