WordPress 免认证 RCE 利用链脚本公开

有人公开了名为 WP2Shell 的 PoC 脚本，将 WordPress 的 CVE-2026-63030 路由混淆与 CVE-2026-60137 SQL 注入串联，据该脚本说明，攻击者无需认证即可创建管理员账户，再通过主题编辑器上传 webshell，形成完整远程代码执行链。 该脚本说明称，完整利用链影响 WordPress 6.9.0–6.9.4 和 7.0.0–7.0.1；6.9.5、7.0.2、6.8.6 已修复。上述影响范围和利用效果均来自脚本发布方的说法。

AI 根据报道生成 · 1 天前更新

还没有足够的连续观测数据，暂不绘制趋势。