CVE-2026-60137

Nome do Software Vulnerável e Versões Afetadas WordPress versões 6.8.0 até 6.8.5 WordPress versões 6.9.0 até 6.9.4 WordPress versões 7.0.0 até 7.0.1

Descrição O WordPress Core contém uma cadeia de vulnerabilidades críticas envolvendo Injeção de SQL e uma falha de execução remota de código. O problema origina-se na classe WP Query, especificamente na função get items(), onde o parâmetro author not in não é devidamente sanitizado ou escapado. Isso permite que um invasor remoto não autenticado anexe consultas SQL maliciosas a consultas existentes, podendo extrair informações sensíveis do banco de dados. Além disso, uma falha de sincronização entre a matriz de verificação de permissões, a lista de endpoints permitidos e a matriz de execução pode ser explorada para ignorar restrições de segurança, executar código arbitrário no servidor e obter acesso não autorizado a informações protegidas. Esta cadeia de vulnerabilidades é particularmente crítica, pois envolve a API REST do WordPress.

Recomendações Atualize o WordPress para a versão 6.8.6. Atualize o WordPress para a versão 6.9.5. Atualize o WordPress para a versão 7.0.2. Como medida de mitigação temporária, restrinja o acesso à API REST do WordPress para minimizar o risco de exploração.