CVE-2026-60137: presente nel catalogo CISA KEV

CVE-2026-60137 · CVSS 5.9 MEDIUM · EPSS 73% · KEV 2026-07-21

WordPress 6.8.x before 6.8.6, 6.9.x before 6.9.5, and 7.0.x before 7.0.2 does not properly sanitise the author__not_in parameter of WP_Query, which could allow SQL Injection when a plugin or theme passes untrusted input to the parameter.

CVE-2026-60137 viene sfruttato?

• Inserito nel catalogo CISA KEV il 2026-07-21.
• Scadenza di remediation federale: 2026-08-04.
• Oltre quella data da 11 giorni.
• EPSS stima la probabilità di sfruttamento nei prossimi 30 giorni al 73%.
• Codice di exploit pubblico: integrato in uno strumento pubblico.

Quali prodotti e versioni sono interessati?

Nessun elenco di pacchetti interessati registrato qui.

Esiste una patch?

Nessun identificativo di patch registrato qui.

Cosa ha pubblicato PlainSec su CVE-2026-60137

• WordPress Core Faces Automated Mass Exploitation (2026-07-30)
• WordPress PoCs Leave Artifacts as Windmill Is Hit (2026-07-20)

Fonti primarie

• NVD record
• CISA KEV catalog
• Metasploit: exploit/multi/http/wp_batch_desync_rce

Cosa questa scheda non dice

• Nessun dato sui pacchetti interessati.
• Nessun identificativo di patch.

KEV ed EPSS vengono ricontrollati ogni giorno. Scheda aggiornata il 2026-08-11.