【成功复现】WordPress组合漏洞命令执行(CVE-2026-63030&CVE-2026-60137)

原创

弥天安全实验室
弥天安全实验室

弥天安全实验室

2026年7月19日 11:02
陕西

在小说阅读器读本章

去阅读

网安引领时代，弥天点亮未来

0x00写在前面

本次测试仅供学习使用，如若非法他用，与平台和本文作者无关，需自行负责！

0x01漏洞介绍

WordPress 是一款使用 PHP 语言开发的开源内容管理系统（CMS），自2003年发布以来已成为全球使用最广泛的网站构建平台。它提供了丰富的主题和插件生态系统，支持博客、企业官网、电商平台等多种场景。

WordPress 内置 REST API，允许开发者通过 HTTP 请求与站点进行数据交互，实现前后端分离、移动应用对接及第三方服务集成。其批量请求端点（/wp-json/batch/v1）自5.6版本起内置，用于将多个子请求打包为单次 HTTP 调用以提升性能。攻击者无需身份认证即可通过漏洞链触发数据库查询，实现管理员账户信息泄露。可实现未授权 SQL 注入获取管理员密码哈希，再通过破解管理员密码并利用插件安装功能可实现代码执行。

0x02影响版本

WordPress 6.8.0-6.85

WordPress 6.9.0 – 6.9.4

WordPress 7.0.0 – 7.0.1

利用条件：

目标系统的REST API 接口处于开启状态【WordPress 默认开启】

0x03漏洞复现

1.访问环境

2.漏洞利用

poc

https://github.com/Icex0/wp2shell-poc

执行脚本

3.yakit工具测试漏洞存在

0x04修复建议****

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

临时缓解措施：

1、安装可禁用未认证用户访问 REST API 的插件。

2、临时关闭全站未授权 REST API 访问权限。

3、应临时阻止匿名用户访问 WordPress REST Batch API：在 WAF 同时阻断请求路径 /wp-json/batch/v1 和查询参数 rest\_route=/batch/v1。

建议尽快升级修复漏洞，再次声明本文仅供学习使用，非法他用责任自负！

https://wordpress.org/news/2026/07/wordpress-7-0-2-release/https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-ff9f-jf42-662qhttps://nvd.nist.gov/vuln/detail/CVE-2026-63030https://wp2shell.com/

弥天简介

学海浩茫，予以风动，必降弥天之润！弥天安全实验室成立于2019年2月19日，主要研究安全防守溯源、威胁狩猎、漏洞复现、工具分享等不同领域。目前主要力量为民间白帽子，也是民间组织。主要以技术共享、交流等不断赋能自己，赋能安全圈，为网络安全发展贡献自己的微薄之力。

口号 网安引领时代，弥天点亮未来

知识分享完了

喜欢别忘了关注我们哦~

学海浩茫，

予以风动，

必降弥天之润！

弥  天

安全实验室