5.9
CVSS 3.1
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Да
Атакува се
в каталога KEV от 21 юли 2026
Атакува се в момента
4 дни
Време до експлоатация
след публикуването
Атакува се по мрежата, при специфични условия, без вход и без действие от потребителя.
- Експлоатация: активно се експлоатира
- Атаката не може да се автоматизира
Описание
Оригинално описание
WordPress 6.8.x before 6.8.6, 6.9.x before 6.9.5, and 7.0.x before 7.0.2 does not properly sanitise the author__not_in parameter of WP_Query, which could allow SQL Injection when a plugin or theme passes untrusted input to the parameter.
Засегнати продукти
- WordPress WordPress: 6.8.0 преди 6.8.6; 6.9.0 преди 6.9.5; 7.0.0 преди 7.0.2
Вид слабост
История
- 17 юли 2026 Публикувано
Други уязвимости в WordPress WordPress
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-60137
- https://nvd.nist.gov/vuln/detail/CVE-2026-60137
- https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-fpp7-x2x2-2mjf
- https://wordpress.org/news/2026/07/wordpress-7-0-2-release/
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-60137