CVE-2026-63030: presente nel catalogo CISA KEV

CVE-2026-63030 · CVSS 7.5 HIGH · KEV 2026-07-21

WordPress 6.9.x before 6.9.5 and 7.0.x before 7.0.2 is affected by a REST API batch endpoint route confusion issue which, combined with the author__not_in WP_Query SQL Injection (CVE-2026-60137), could allow an attacker to perform SQL Injection and achieve Remote Code Execution.

CVE-2026-63030 viene sfruttato?

• Inserito nel catalogo CISA KEV il 2026-07-21.
• Scadenza di remediation federale: 2026-07-24.
• Oltre quella data da 22 giorni.
• Codice di exploit pubblico: integrato in uno strumento pubblico.
• Esistono regole di detection pubbliche.

Quali prodotti e versioni sono interessati?

Nessun elenco di pacchetti interessati registrato qui.

Esiste una patch?

Nessun identificativo di patch registrato qui.

Cosa ha pubblicato PlainSec su CVE-2026-63030

• WordPress Core Faces Automated Mass Exploitation (2026-07-30)
• WordPress PoCs Leave Artifacts as Windmill Is Hit (2026-07-20)

Fonti primarie

• NVD record
• CISA KEV catalog
• Metasploit: exploit/multi/http/wp_batch_desync_rce
• Nuclei template

Cosa questa scheda non dice

• Nessun punteggio EPSS.
• Nessun dato sui pacchetti interessati.
• Nessun identificativo di patch.

KEV ed EPSS vengono ricontrollati ogni giorno. Scheda aggiornata il 2026-08-11.