Summary
Er zijn twee kwetsbaarheden verholpen in WordPress Core 6.8.6, 6.9.5 en 7.0.2
Details
Interpretaties
Een ongeauthenticeerde kwaadwillende kan de kwetsbaarheden op afstand misbruiken voor het uitvoeren van willekeurige code. Hiertoe dient een malafide HTTP-request naar de batch-API van een WordPress-site te worden verstuurd.
Aangezien kwetsbaarheden in contentmanagementsystemen structureel de interesse van kwaadwillenden hebben, verwacht het NCSC dat de kwetsbaarheden op korte termijn zullen gaan worden misbruikt.
Oplossingen
WordPress heeft beveiligingsupdates beschikbaar gesteld om de kwetsbaarheden te verhelpen. Het NCSC adviseert om deze updates op korte termijn te installeren. Indien het installeren van de beveiligingsupdates niet mogelijk is, kan misbruik worden voorkomen door de mitigerende maatregelen toe te passen die door beveiligingsbedrijf Searchlight Cyber zijn gedeeld. Zie de bijgevoegde referenties voor meer informatie.
Vulnerabilities 2
-
Critical 9.8
WordPress < 7.0.2 - REST API batch-route confusion and SQL injection issue leading to Remote Code Execution
WordPress 6.9.x before 6.9.5 and 7.0.x before 7.0.2 is affected by a REST API batch endpoint route confusion issue which, combined with the author__not_in WP_Query SQL Injection (CVE-2026-60137), could allow an attacker to perform SQL Injection and achieve Re…
KEV Jul 21, 2026 -
Medium 5.9
WordPress < 7.0.2 - Facilitated SQL Injection via author__not_in in WP_Query
WordPress 6.8.x before 6.8.6, 6.9.x before 6.9.5, and 7.0.x before 7.0.2 does not properly sanitise the author__not_in parameter of WP_Query, which could allow SQL Injection when a plugin or theme passes untrusted input to the parameter.
KEV Jul 21, 2026
Revision history
-
#1.0.0
Initiele versie