forum.opennet.ru - "Уязвимости в WordPress, позволяющие удалённо выполнить код на сервере" (29)

"Уязвимости в WordPress, позволяющие удалённо выполнить код на сервере"

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Уязвимости в WordPress, позволяющие удалённо выполнить код на сервере"	+/–
Сообщение от opennews (ok), 22-Июл-26, 12:57
В системе управления web-контентом WordPress, которая по приблизительной оценке используется на 500 миллионах сайтах, выявлены две уязвимости, которые в комбинации позволяют получить полный доступ к панели администратора и выполнить код с привилегиями web-сервера через отправку внешнего запроса без прохождения аутентификации. Уязвимости, которым присвоено кодовое имя wp2shell, присутствуют в основной кодовой базе WordPress и не привязаны к темам оформления или плагинам, - для атаки достаточно, чтобы сайт на базе WordPress был доступен для внешних запросов. Проблемы устранены в корректирующих обновлениях 6.8.6, 6.9.5 и 7.0.2... Подробнее: https://www.opennet.dev/opennews/art.shtml?num=65946
Ответить \| Правка \| Cообщить модератору

Оглавление

8230 мда, в удивительные времена живём Раньше информацию с сайтов сохраняли с, Аноним (2), 13:04 , 22-Июл-26, (2) +4

Сама WordPress как уязвимость , Аноним (15), 15:08 , 22-Июл-26, (15)

их там гигатонны, Аноним (26), 18:59 , 22-Июл-26, (26) –1

Если не сделал бэкап и не проверил бэкап - то это значит это информация не нужна, Аноним (19), 17:02 , 22-Июл-26, (19) +2

Раньше в ынторнете было много вского от всяких там ботаникофф, которые нихрена в, _ (??), 17:41 , 22-Июл-26, (21) +1

А по русски можно , Аноним (23), 18:10 , 22-Июл-26, (23) –1

А причём тут бэкап Речь про то, что поисковик даёт ссылку на сайт, заходишь, а , Аноним (2), 20:24 , 22-Июл-26, (28)

ну что когда там перепишут SQL на безопасТный SafeQL , Аноним (3), 13:16 , 22-Июл-26, (3)

лучше SecureQL , Аноним (3), 13:17 , 22-Июл-26, (4)

Который на безопастном Rust , Аноним (6), 13:55 , 22-Июл-26, (6) +3

конечно, Аноним (3), 14:18 , 22-Июл-26, (10) +2

Иначе, WordPress не был бы WordPress ом , Аноним (6), 13:51 , 22-Июл-26, (5) +2

Акела промахнулся, Акела промахнулся С - Шакалы из Король ЛевА так то, по, OpenEcho (?), 14:47 , 22-Июл-26, (12) –1

Это не злорадство, мне до него фиолетово, сколько там его крутится WordPress эт, Аноним (6), 15:05 , 22-Июл-26, (14)

Да мне тоже на него фиолетово, но - не рой яму другому, - сам в нее попадешь н, OpenEcho (?), 15:43 , 22-Июл-26, (16)

Поговорка - это про людей, а WP - это поделка косящая под software Ты иногда выл, _ (??), 17:47 , 22-Июл-26, (22)

Да я то вот на улице и с людьми, на факты опираюсь, а не на абстрактные поделка, OpenEcho (?), 21:30 , 22-Июл-26, (30)

Хмм , Kilrathi (ok), 13:57 , 22-Июл-26, (7)

Дочитайте новость до конца В эксплоите задействованы две уязвимости вторая у, Аноним (9), 14:09 , 22-Июл-26, (9)

Не отношусь к тем, кто дальше заголовка не осилил В данном случае, похоже, из-, Kilrathi (ok), 14:30 , 22-Июл-26, (11) –1

Напомню, что в недавней новости 1 дежурный тов Жиров А Т рассказал всем при, Аноним (-), 15:01 , 22-Июл-26, (13)

Так если правильно приготовить - то практически любой сервис безопасен, как мини, Ivan_83 (ok), 17:22 , 22-Июл-26, (20)

Ах, это волшебное слово если Если бы я был директором галактики Если бы у , Аноним (24), 18:26 , 22-Июл-26, (24)

Если нет - сидеть без сервисов или с вебшелами от какеров , Ivan_83 (ok), 20:30 , 22-Июл-26, (29)

Сарказм детектед А по ходу Отрицая, - предлагай Слушаем , OpenEcho (?), 15:48 , 22-Июл-26, (17)
В контексте последних новостей о поисках уязвимостей с помощью ИИ - хотелось бы , ryoken (ok), 16:40 , 22-Июл-26, (18)

Так уязвимость и нашел gpt в подписке за 200 баксов , Аноним (25), 18:51 , 22-Июл-26, (25)

Перечитал новость - про gpt не заметил ничего Ну если это подписка которая у ни, ryoken (ok), 21:46 , 22-Июл-26, (31)

Скрыто модератором, Аноним (27), 20:10 , 22-Июл-26, (27) +1

Сообщения [Сортировка по времени | RSS]

2. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..." +4 +/–

Сообщение от Аноним (2), 22-Июл-26, 13:04

…мда, в удивительные времена живём. Раньше информацию с сайтов сохраняли себе на хард, потому что не всегда и везде был доступ к интернету. А теперь потому что в одночасье сайт могут сложить, а затем выяснится что webarchive никогда про него не слышал про этот сайт и ничего не сохранял.

Ответить | Правка | Наверх | Cообщить модератору

15. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..." +/–

Сообщение от Аноним (15), 22-Июл-26, 15:08

> Уязвимости в WordPress
Сама WordPress как уязвимость.

Ответить | Правка | Наверх | Cообщить модератору

26. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..." –1 +/–

Сообщение от Аноним (26), 22-Июл-26, 18:59

+ их там гигатонны

Ответить | Правка | Наверх | Cообщить модератору

19. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..." +2 +/–

Сообщение от Аноним (19), 22-Июл-26, 17:02

Если не сделал бэкап и не проверил бэкап - то это значит это информация не нужна.

Ответить | Правка | К родителю #2 | Наверх | Cообщить модератору

21. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..." +1 +/–

Сообщение от _ (??), 22-Июл-26, 17:41

Раньше в ынторнете было много вского от всяких там ботаникофф, которые нихрена в бэкапах не петрят, но зато петрят в ботанике...
А теперь и бэкапить нечего, одна слопятина везде, её перегенерить заново - дешевле чем с еЯ бэкапом париться :)

Ответить | Правка | Наверх | Cообщить модератору

23. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..." –1 +/–

Сообщение от Аноним (23), 22-Июл-26, 18:10

А по русски можно?

Ответить | Правка | Наверх | Cообщить модератору

28. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..." +/–

Сообщение от Аноним (2), 22-Июл-26, 20:24

>Если не сделал бэкап…
А причём тут бэкап? Речь про то, что поисковик даёт ссылку на сайт, заходишь, а там или 404 или сайт продаётся домен.

Ответить | Правка | К родителю #19 | Наверх | Cообщить модератору

3. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..." +/–

Сообщение от Аноним (3), 22-Июл-26, 13:16

ну что когда там перепишут SQL на безопасТный SafeQL?

Ответить | Правка | Наверх | Cообщить модератору

4. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..." +/–

Сообщение от Аноним (3), 22-Июл-26, 13:17

лучше SecureQL :)

Ответить | Правка | Наверх | Cообщить модератору

6. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..." +3 +/–

Сообщение от Аноним (6), 22-Июл-26, 13:55

Который на безопастном Rust?

Ответить | Правка | Наверх | Cообщить модератору

10. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..." +2 +/–

Сообщение от Аноним (3), 22-Июл-26, 14:18

конечно

Ответить | Правка | Наверх | Cообщить модератору

5. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..." +2 +/–

Сообщение от Аноним (6), 22-Июл-26, 13:51

Иначе, WordPress не был бы WordPress'ом :)

Ответить | Правка | Наверх | Cообщить модератору

12. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..." –1 +/–

Сообщение от OpenEcho (?), 22-Июл-26, 14:47

> Иначе, WordPress не был бы WordPress'ом :)
"Акела промахнулся, Акела промахнулся..." (С) - Шакалы из Король Лев
А так то, по факту - "Акела" всё еще на пол миллиарда сайтах крутится пока шакалы злорадствуют.
Кстати, никакой аффилиации с ВордПресом, просто очень не люблю злорадства

Ответить | Правка | Наверх | Cообщить модератору

14. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..." +/–

Сообщение от Аноним (6), 22-Июл-26, 15:05

Это не злорадство, мне до него фиолетово, сколько там его крутится. WordPress это притча во языцех.

Ответить | Правка | Наверх | Cообщить модератору

16. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..." +/–

Сообщение от OpenEcho (?), 22-Июл-26, 15:43

> Это не злорадство, мне до него фиолетово, сколько там его крутится. WordPress это притча во языцех.
Да мне тоже на него фиолетово, но - "не рой яму другому, - сам в нее попадешь" не отменяли
А по поводу притчи, AFAIK там во основном все дыры от плагинов, т.к. пишут под него все кому не лень, с образованием и без, а сам движок, очеь простой и функциональный и нет там именно в нем столько страшных дыр, даже учитывая его популярность. Было бы по другому, не вытеснил бы он "правильные" фрэймворки.

Ответить | Правка | Наверх | Cообщить модератору

22. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..." +/–

Сообщение от _ (??), 22-Июл-26, 17:47

> "не рой яму другому, - сам в нее попадешь"
Поговорка - это про людей, а WP - это поделка косящая под software.
Ты иногда вылезай из-за своего пиЦука, на улицу выходи, там солнце и люди живые :)

Ответить | Правка | Наверх | Cообщить модератору

30. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..." +/–

Сообщение от OpenEcho (?), 22-Июл-26, 21:30

Да я то вот на улице и с людьми, на факты опираюсь, а не на абстрактные "поделка косящая под software". Это только у вас где-то там в заоблачном "рае" есть только правильные языки и правильный софт... про который только никто не в курсе

Ответить | Правка | Наверх | Cообщить модератору

7. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..." +/–

Сообщение от Kilrathi (ok), 22-Июл-26, 13:57

Хмм
>не привязаны к темам оформления или плагинам, - для атаки достаточно,
>чтобы сайт на базе WordPress был доступен для внешних запросов
..
>добиться подстановки SQL-запроса из-за отсутствия должной чистки
>параметра "author__not_in", который может быть передан плагином
>или темой оформления

Ответить | Правка | Наверх | Cообщить модератору

9. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..." +/–

Сообщение от Аноним (9), 22-Июл-26, 14:09

Дочитайте новость до конца:
В эксплоите задействованы две уязвимости....
вторая уязвимость "даёт возможность сформировать внутренний запрос со специально оформленным значением параметра "author__not_in" для осуществления подстановки SQL-запроса".

Ответить | Правка | Наверх | Cообщить модератору

11. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..." –1 +/–

Сообщение от Kilrathi (ok), 22-Июл-26, 14:30

Не отношусь к тем, кто дальше заголовка "не осилил".
В данном случае, похоже, из-за описания неясность выходит.
Насколько я понял из оригинальных описаний по ссылкам
сама CVE-2026-60137 может применяться только к уязвимым плагинам/темам при их наличии.
"WordPress 6.8.x before 6.8.6, 6.9.x before 6.9.5, and 7.0.x before 7.0.2 does not properly sanitise the author__not_in parameter of WP_Query, which could allow SQL Injection when a plugin or theme passes untrusted input to the parameter"
А вот CVE-2026-63030 уже позволяет воспользоваться CVE-2026-60137 на "голом" WP, проходя через встроенный Batch API
"WordPress 6.9.x before 6.9.5 and 7.0.x before 7.0.2 is affected by a REST API batch endpoint route confusion issue which, combined with the author__not_in WP_Query SQL Injection (CVE-2026-60137), could allow an attacker to perform SQL Injection and achieve Remote Code Execution."
Т.е. вместо "Уязвимости, которым присвоено кодовое имя wp2shell, присутствуют в основной кодовой базе WordPress и не привязаны к темам оформления или плагинам" корректней было бы использовать "Уязвимость, которой..."

Ответить | Правка | Наверх | Cообщить модератору

13. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..." +/–

Сообщение от Аноним (-), 22-Июл-26, 15:01

Напомню, что в недавней новости [1] дежурный тов. Жиров А. Т. рассказал всем присутствующим, что локальное повышение привилегий безопасно, и всё это не более чем, цитирую, "галлюцинация ЫЫ".
В другой новости [2] дежурный тов. Иван 83 г. р. поддерживает эту мысль, цитирую: "RCE тут притянуто за уши, как обычно последнее время".
От себя хочу добавить, что все, кто держит WordPress у себя на сервере, находятся в полнейшей безопасности. Сервер nginx - "топ вебсерверов планеты"! Си - наилучший язык программирования, не содержащий бэкдоров в явном виде. (Ах да, Rust - троянский конь, созданный врагом).
[1] https://opennet.ru/65911-ntfs#1
[2] https://opennet.ru/65910-nginx#6

Ответить | Правка | Наверх | Cообщить модератору

20. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..." +/–

Сообщение от Ivan_83 (ok), 22-Июл-26, 17:22

Так если правильно приготовить - то практически любой сервис безопасен, как минимум атоматические атаки не страшны.
А если тяпс-ляпс делать, всё по дефолту и вперёд - то вебшелы можно выгребать каждую секунду десятками.
Я же уже рассказывал что подобное монтируется в RO chroot окружение.

Ответить | Правка | Наверх | Cообщить модератору

24. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..." +/–

Сообщение от Аноним (24), 22-Июл-26, 18:26

> если правильно приготовить
Ах, это волшебное слово "если"! Если бы я был директором галактики... Если бы у меня было много денег... Если бы программисты сразу правильно писали... Если бы у бабушки кое-что было...
А если нет, тогда что?

Ответить | Правка | Наверх | Cообщить модератору

29. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..." +/–

Сообщение от Ivan_83 (ok), 22-Июл-26, 20:30

Если нет - сидеть без сервисов или с вебшелами от какеров.

Ответить | Правка | Наверх | Cообщить модератору

17. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..." +/–

Сообщение от OpenEcho (?), 22-Июл-26, 15:48

> От себя хочу добавить, что все, кто держит WordPress у себя на сервере, находятся в полнейшей безопасности. Сервер nginx - "топ вебсерверов планеты"! Си - наилучший язык программирования, не содержащий бэкдоров в явном виде. (Ах да, Rust - троянский конь, созданный врагом)
Сарказм детектед.
А по ходу: Отрицая, - предлагай.
Слушаем...

Ответить | Правка | Наверх | Cообщить модератору

18. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..." +/–

Сообщение от ryoken (ok), 22-Июл-26, 16:40

В контексте последних новостей о поисках уязвимостей с помощью ИИ - хотелось бы видеть, натравливали ли какой-то ИИ на сабж? Т.к. по мнению местных обскакалов сам WP одна большая уязвимость.

Ответить | Правка | Наверх | Cообщить модератору

25. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..." +/–

Сообщение от Аноним (25), 22-Июл-26, 18:51

Так уязвимость и нашел gpt в подписке за 200 баксов.

Ответить | Правка | Наверх | Cообщить модератору

31. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..." +/–

Сообщение от ryoken (ok), 22-Июл-26, 21:46

Перечитал новость - про gpt не заметил ничего. Ну если это подписка которая у них PRO 20x - видимо, может.

Ответить | Правка | Наверх | Cообщить модератору

27. Скрыто модератором +1 +/–

Сообщение от Аноним (27), 22-Июл-26, 20:10

Вордпресс — это классика красноглазия, породившая целый культ «не парясь разворачиваю линух, апач, мускуль и пыху, сверху вордпрес с шаблоном, на пиво и сиги хватает, всё остальное время сижу на лоре и хабре», пока не полезли всякие тильды и соцсети.
Настолько всё дырявое, насколько это можно.

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2026 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

2. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..."	+4 +/–
Сообщение от Аноним (2), 22-Июл-26, 13:04
…мда, в удивительные времена живём. Раньше информацию с сайтов сохраняли себе на хард, потому что не всегда и везде был доступ к интернету. А теперь потому что в одночасье сайт могут сложить, а затем выяснится что webarchive никогда про него не слышал про этот сайт и ничего не сохранял.
Ответить \| Правка \| Наверх \| Cообщить модератору


	15. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..."	+/–
	Сообщение от Аноним (15), 22-Июл-26, 15:08
	> Уязвимости в WordPress Сама WordPress как уязвимость.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	26. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..."	–1 +/–
	Сообщение от Аноним (26), 22-Июл-26, 18:59
	+ их там гигатонны
	Ответить \| Правка \| Наверх \| Cообщить модератору


	19. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..."	+2 +/–
	Сообщение от Аноним (19), 22-Июл-26, 17:02
	Если не сделал бэкап и не проверил бэкап - то это значит это информация не нужна.
	Ответить \| Правка \| К родителю #2 \| Наверх \| Cообщить модератору


	21. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..."	+1 +/–
	Сообщение от _ (??), 22-Июл-26, 17:41
	Раньше в ынторнете было много вского от всяких там ботаникофф, которые нихрена в бэкапах не петрят, но зато петрят в ботанике... А теперь и бэкапить нечего, одна слопятина везде, её перегенерить заново - дешевле чем с еЯ бэкапом париться :)
	Ответить \| Правка \| Наверх \| Cообщить модератору


	23. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..."	–1 +/–
	Сообщение от Аноним (23), 22-Июл-26, 18:10
	А по русски можно?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	28. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..."	+/–
	Сообщение от Аноним (2), 22-Июл-26, 20:24
	>Если не сделал бэкап… А причём тут бэкап? Речь про то, что поисковик даёт ссылку на сайт, заходишь, а там или 404 или сайт продаётся домен.
	Ответить \| Правка \| К родителю #19 \| Наверх \| Cообщить модератору

3. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..."	+/–
Сообщение от Аноним (3), 22-Июл-26, 13:16
ну что когда там перепишут SQL на безопасТный SafeQL?
Ответить \| Правка \| Наверх \| Cообщить модератору


	4. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..."	+/–
	Сообщение от Аноним (3), 22-Июл-26, 13:17
	лучше SecureQL :)
	Ответить \| Правка \| Наверх \| Cообщить модератору


	6. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..."	+3 +/–
	Сообщение от Аноним (6), 22-Июл-26, 13:55
	Который на безопастном Rust?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	10. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..."	+2 +/–
	Сообщение от Аноним (3), 22-Июл-26, 14:18
	конечно
	Ответить \| Правка \| Наверх \| Cообщить модератору

5. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..."	+2 +/–
Сообщение от Аноним (6), 22-Июл-26, 13:51
Иначе, WordPress не был бы WordPress'ом :)
Ответить \| Правка \| Наверх \| Cообщить модератору


	12. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..."	–1 +/–
	Сообщение от OpenEcho (?), 22-Июл-26, 14:47
	> Иначе, WordPress не был бы WordPress'ом :) "Акела промахнулся, Акела промахнулся..." (С) - Шакалы из Король Лев А так то, по факту - "Акела" всё еще на пол миллиарда сайтах крутится пока шакалы злорадствуют. Кстати, никакой аффилиации с ВордПресом, просто очень не люблю злорадства
	Ответить \| Правка \| Наверх \| Cообщить модератору


	14. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..."	+/–
	Сообщение от Аноним (6), 22-Июл-26, 15:05
	Это не злорадство, мне до него фиолетово, сколько там его крутится. WordPress это притча во языцех.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	16. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..."	+/–
	Сообщение от OpenEcho (?), 22-Июл-26, 15:43
	> Это не злорадство, мне до него фиолетово, сколько там его крутится. WordPress это притча во языцех. Да мне тоже на него фиолетово, но - "не рой яму другому, - сам в нее попадешь" не отменяли А по поводу притчи, AFAIK там во основном все дыры от плагинов, т.к. пишут под него все кому не лень, с образованием и без, а сам движок, очеь простой и функциональный и нет там именно в нем столько страшных дыр, даже учитывая его популярность. Было бы по другому, не вытеснил бы он "правильные" фрэймворки.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	22. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..."	+/–
	Сообщение от _ (??), 22-Июл-26, 17:47
	> "не рой яму другому, - сам в нее попадешь" Поговорка - это про людей, а WP - это поделка косящая под software. Ты иногда вылезай из-за своего пиЦука, на улицу выходи, там солнце и люди живые :)
	Ответить \| Правка \| Наверх \| Cообщить модератору


	30. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..."	+/–
	Сообщение от OpenEcho (?), 22-Июл-26, 21:30
	Да я то вот на улице и с людьми, на факты опираюсь, а не на абстрактные "поделка косящая под software". Это только у вас где-то там в заоблачном "рае" есть только правильные языки и правильный софт... про который только никто не в курсе
	Ответить \| Правка \| Наверх \| Cообщить модератору

7. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..."	+/–
Сообщение от Kilrathi (ok), 22-Июл-26, 13:57
Хмм >не привязаны к темам оформления или плагинам, - для атаки достаточно, >чтобы сайт на базе WordPress был доступен для внешних запросов .. >добиться подстановки SQL-запроса из-за отсутствия должной чистки >параметра "author__not_in", который может быть передан плагином >или темой оформления
Ответить \| Правка \| Наверх \| Cообщить модератору


	9. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..."	+/–
	Сообщение от Аноним (9), 22-Июл-26, 14:09
	Дочитайте новость до конца: В эксплоите задействованы две уязвимости.... вторая уязвимость "даёт возможность сформировать внутренний запрос со специально оформленным значением параметра "author__not_in" для осуществления подстановки SQL-запроса".
	Ответить \| Правка \| Наверх \| Cообщить модератору


	11. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..."	–1 +/–
	Сообщение от Kilrathi (ok), 22-Июл-26, 14:30
	Не отношусь к тем, кто дальше заголовка "не осилил". В данном случае, похоже, из-за описания неясность выходит. Насколько я понял из оригинальных описаний по ссылкам сама CVE-2026-60137 может применяться только к уязвимым плагинам/темам при их наличии. "WordPress 6.8.x before 6.8.6, 6.9.x before 6.9.5, and 7.0.x before 7.0.2 does not properly sanitise the author__not_in parameter of WP_Query, which could allow SQL Injection when a plugin or theme passes untrusted input to the parameter" А вот CVE-2026-63030 уже позволяет воспользоваться CVE-2026-60137 на "голом" WP, проходя через встроенный Batch API "WordPress 6.9.x before 6.9.5 and 7.0.x before 7.0.2 is affected by a REST API batch endpoint route confusion issue which, combined with the author__not_in WP_Query SQL Injection (CVE-2026-60137), could allow an attacker to perform SQL Injection and achieve Remote Code Execution." Т.е. вместо "Уязвимости, которым присвоено кодовое имя wp2shell, присутствуют в основной кодовой базе WordPress и не привязаны к темам оформления или плагинам" корректней было бы использовать "Уязвимость, которой..."
	Ответить \| Правка \| Наверх \| Cообщить модератору

13. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..."	+/–
Сообщение от Аноним (-), 22-Июл-26, 15:01
Напомню, что в недавней новости [1] дежурный тов. Жиров А. Т. рассказал всем присутствующим, что локальное повышение привилегий безопасно, и всё это не более чем, цитирую, "галлюцинация ЫЫ". В другой новости [2] дежурный тов. Иван 83 г. р. поддерживает эту мысль, цитирую: "RCE тут притянуто за уши, как обычно последнее время". От себя хочу добавить, что все, кто держит WordPress у себя на сервере, находятся в полнейшей безопасности. Сервер nginx - "топ вебсерверов планеты"! Си - наилучший язык программирования, не содержащий бэкдоров в явном виде. (Ах да, Rust - троянский конь, созданный врагом). [1] https://opennet.ru/65911-ntfs#1 [2] https://opennet.ru/65910-nginx#6
Ответить \| Правка \| Наверх \| Cообщить модератору


	20. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..."	+/–
	Сообщение от Ivan_83 (ok), 22-Июл-26, 17:22
	Так если правильно приготовить - то практически любой сервис безопасен, как минимум атоматические атаки не страшны. А если тяпс-ляпс делать, всё по дефолту и вперёд - то вебшелы можно выгребать каждую секунду десятками. Я же уже рассказывал что подобное монтируется в RO chroot окружение.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	24. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..."	+/–
	Сообщение от Аноним (24), 22-Июл-26, 18:26
	> если правильно приготовить Ах, это волшебное слово "если"! Если бы я был директором галактики... Если бы у меня было много денег... Если бы программисты сразу правильно писали... Если бы у бабушки кое-что было... А если нет, тогда что?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	29. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..."	+/–
	Сообщение от Ivan_83 (ok), 22-Июл-26, 20:30
	Если нет - сидеть без сервисов или с вебшелами от какеров.
	Ответить \| Правка \| Наверх \| Cообщить модератору

17. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..."	+/–
Сообщение от OpenEcho (?), 22-Июл-26, 15:48
> От себя хочу добавить, что все, кто держит WordPress у себя на сервере, находятся в полнейшей безопасности. Сервер nginx - "топ вебсерверов планеты"! Си - наилучший язык программирования, не содержащий бэкдоров в явном виде. (Ах да, Rust - троянский конь, созданный врагом) Сарказм детектед. А по ходу: Отрицая, - предлагай. Слушаем...
Ответить \| Правка \| Наверх \| Cообщить модератору

18. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..."	+/–
Сообщение от ryoken (ok), 22-Июл-26, 16:40
В контексте последних новостей о поисках уязвимостей с помощью ИИ - хотелось бы видеть, натравливали ли какой-то ИИ на сабж? Т.к. по мнению местных обскакалов сам WP одна большая уязвимость.
Ответить \| Правка \| Наверх \| Cообщить модератору


	25. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..."	+/–
	Сообщение от Аноним (25), 22-Июл-26, 18:51
	Так уязвимость и нашел gpt в подписке за 200 баксов.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	31. "Уязвимости в WordPress, позволяющие удалённо выполнить код н..."	+/–
	Сообщение от ryoken (ok), 22-Июл-26, 21:46
	Перечитал новость - про gpt не заметил ничего. Ну если это подписка которая у них PRO 20x - видимо, может.
	Ответить \| Правка \| Наверх \| Cообщить модератору

27. Скрыто модератором	+1 +/–
Сообщение от Аноним (27), 22-Июл-26, 20:10
Вордпресс — это классика красноглазия, породившая целый культ «не парясь разворачиваю линух, апач, мускуль и пыху, сверху вордпрес с шаблоном, на пиво и сиги хватает, всё остальное время сижу на лоре и хабре», пока не полезли всякие тильды и соцсети. Настолько всё дырявое, насколько это можно.
Ответить \| Правка \| Наверх \| Cообщить модератору