WordPress的严重漏洞允许攻击者在无需身份验证的情况下执行远程代码"

admin

0
文章

0
评论

2026-10-22 12:55:55 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

WordPress 的严重漏洞允许攻击者在无需身份验证的情况下执行远程代码

原创

ZM
ZM

暗镜

2026年10月20日 06:00
北京

去阅读

WordPress Core 的两个漏洞可以被链接起来，在未经身份验证的情况下执行远程代码。该漏洞利用链被称为 WP2Shell，据报道于 2026 年 7 月出现，它结合了 REST API 路由混淆和 SQL 注入，使攻击者能够在没有有效的 WordPress 凭据的情况下，从公共端点逐步入侵服务器。

据报道，该漏洞链影响 WordPress 6.9.0 至 6.9.4 和 7.0.0 至 7.0.1 版本。其重要性在于绕过了通常执行管理操作所需的初始帐户入侵，从而直接从暴露的网站创建了攻击路径。

第一个漏洞 CVE-2026-63030 影响通过公开的 REST API 批处理控制器/wp-json/batch/v1。此功能处理单个 JSON 有效负载中提交的多个 API 请求。嵌套的批处理结构可能会混淆路由解析，并将请求分发到非预期的处理程序。

因此，攻击者可以访问原本需要身份验证才能使用的功能。该漏洞本身并不执行代码；它只是提供了第二阶段所需的未经身份验证的入口点。该阶段利用了 CVE-2026-60137，这是一个涉及 posts 端点的SQL 注入漏洞。公共author_exclude参数在内部映射到author__not_in参数WP_Query。输入处理不足使得精心构造的值能够影响数据库查询。

结合这些漏洞，攻击者可以通过暴露的批处理接口操纵数据库。演示的攻击序列首先建立一个管理员帐户，然后部署一个包含 Web Shell 的恶意插件。

因此，代码执行并非仅仅由路由混淆直接导致，而是一个多阶段的妥协过程。记录的暂存活动始于创建与目录匹配的临时文件temp-write-test-*，wp-content/这显然是在检查目录的可写性。这些文件随后会被删除。