WP2Shell - CVE-2026-63030

Il s'agit d'une vulnérabilité de confusion de route dans l'endpoint REST API batch (/wp-json/batch/v1), au sein de la fonction WP_REST_Server::serve_batch_request_v1().

WordPress est un système de gestion de contenu open source utilisé pour créer, publier et administrer des sites web, dont le cœur logiciel (Core) peut être enrichi par des thèmes et des extensions tierces.

Lorsqu'une sous-requête d'un lot échoue à la validation, l'objet WP_Error produit est ajouté au tableau interne $validation[] mais pas au tableau parallèle $matches[] utilisé pour le routage, ce qui crée un décalage d'index d'une position. La sous-requête « i » est alors dispatchée avec le gestionnaire prévu pour la sous-requête « i+1 ». Cette confusion permet de faire passer une requête vers un gestionnaire non destiné à la recevoir et de contourner le contrôle d'authentification qui protège normalement l'injection SQL du paramètre author__not_in de WP_Query (CVE-2026-60137).

Elle permet à un attaquant distant non authentifié, en chaînant cette confusion avec l'injection SQL, d'obtenir une exécution de code arbitraire sur le serveur.