KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2026-63030 的安全漏洞（危害等级：严重）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
2026年7月互联网上披露 WordPress Core REST API 批量路由混淆漏洞（CVE-2026-63030）。WordPress 6.9 及以上版本的 REST API 批量端点 /?rest_route=/batch/v1 存在路由混淆缺陷，攻击者可通过构造嵌套的 batch 请求绕过 REST API 的身份认证检查，使未授权用户能够访问需要认证的接口。该漏洞与 CVE-2026-60137 SQL注入漏洞组合后可导致未授权远程代码执行（wp2shell RCE 链）。
影响范围
应用：wordpress wordpress（影响面 Up to (excluding) 6.9.5）
应用：wordpress wordpress（影响面 Up to (excluding) 7.0.2）
解决方案
1、立即升级 WordPress 至 6.9.5 或 7.0.2 及以上版本
2、临时缓解措施：在 WAF 或反向代理层面拦截对 /?rest_route=/batch/v1 的 POST 请求
3、禁用或限制 REST API 批量端点的访问
参考信息
https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-ff9f-jf42-662q
https://wordpress.org/news/2026/07/wordpress-7-0-2-release/
https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-63030
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。