CVE-2026-60137

WordPress < 7.0.2 - Phản ứng SQL Injection thông qua author__not_in trong WP_Query

WordPress 6.8.x trước 6.8.6, 6.9.x trước 6.9.5, và 7.0.x trước 7.0.2 không xử lý đúng tham số author__not_in của WP_Query, điều này có thể cho phép SQL Injection khi một plugin hoặc theme truyền input không tin cậy đến tham số này.

CNA cấp mã

WPScan

Ngày công bố

18/07/2026

Cập nhật

08/10/2026

CVSS (NVD)

5.9 · MEDIUM

Loại lỗi (CWE)

CWE-89 SQL Injection

EPSS (FIRST)

5.32% khả năng bị khai thác trong 30 ngày

CISA KEV

WordPress Core — Lỗ hổng SQL Injection trong Core WordPress. Đưa vào 2026-07-21, hạn khắc phục 2026-08-04. Áp dụng các biện pháp khắc phục theo hướng dẫn nhà sản xuất, đảm bảo tuân thủ hướng dẫn CISA về BOD 26-04 Prioritizing Security Updates Based on Risk (xem URL trong Ghi chú) và hướng dẫn về “Forensics Triage Requirements” (xem URL trong Ghi chú). Theo hướng dẫn BOD 26-04 cho các dịch vụ đám mây hoặc ngừng sử dụng sản phẩm nếu biện pháp khắc phục không khả dụng. Các bên liên quan có trách nhiệm đánh giá mỗi tài sản về sự phơi bày trên internet và đảm bảo tuân thủ hướng dẫn về cập nhật vá của BOD 26-04.