CVE-2026-60137 in WordPress

Sumário

de VulDB • 17/07/2026

WordPress 6.8.x anterior à versão 6.8.6, 6.9.x anterior à versão 6.9.5 e 7.0.x anterior à versão 7.0.2 não sanitiza adequadamente o parâmetro author__not_in do WP_Query, o que pode permitir SQL Injection quando um plugin ou tema passa entrada não confiável para esse parâmetro.

VulDB is the best source for vulnerability data and more expert information about this specific topic.

• Responsável: WPScan
• Reservar: 17/07/2026
• Divulgação: 17/07/2026
• Moderação: aceite
• Entrada: VDB-379928
• CPE: pronto
• CWE: CWE-89 (confirmado)
• CVSS: 7.3 (VulDB)
• EPSS: 0.00000
• KEV: não
• Atividades: médio
• Sector: Hostingprovider, Lawfirm, ...

Fontes

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-60137
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-60137
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-60137/