CVE-Katalog

CVE-2026-60137

WordPress 6.8.x before 6.8.6, 6.9.x before 6.9.5, and 7.0.x before 7.0.2 does not properly sanitise the author__not_in parameter of WP_Query, which could allow SQL Injection when a plugin or theme pas

[CVE-Katalog]

Schweregrad
Critical · CVSS 9.1
Published
Source
[NVD] · [CVE record]
Exploitation
CISA Known Exploited Vulnerabilities
EPSS
5.32% · Oct 22, 2026

WordPress Core contains a SQL injection vulnerability when a plugin or theme passes untrusted input to the parameter. This vulnerability can be chained with CVE-2026-63030 to allow an unauthenticated attacker to gain remote code execution on default WordPress installations.

Vulnerable and fixed packages

Distribution-reported package versions and fixes. These do not depend on matching against the OpenFactory package catalog.

DistributionPackageReleaseVersionStatus
Debianwordpresssid7.1.3+dfsg1-1fixed
Debianwordpressforky7.1.3+dfsg1-1fixed
Debianwordpresstrixie6.8.7+dfsg1-0+deb13u1fixed
Debianwordpresstrixie-security6.8.10+dfsg1-0+deb13u1fixed
Debianwordpressbookworm6.1.9+dfsg1-0+deb12u1not affected
Debianwordpressbookworm-security6.1.9+dfsg1-0+deb12u1not affected
CpewordpressNot reportedNot reportedvulnerable
CpewordpressNot reported7.0.2fixed

Fixed-version evidence

DistributionPackageTypeReleaseFixed versionUrgencyOriginBugs
Debianwordpresssourcesid7.0.2+dfsg1-1not yet assignedNot reported[1142510]
Debianwordpresssourceforky7.0.2+dfsg1-1not yet assignedNot reported[1142510]
Debianwordpresssourcetrixie6.8.6+dfsg1-0+deb13u1not yet assignedNot reported[1142510]
DebianwordpresssourcebookwormNot affectedunimportantNot reported[1142510]
CpewordpresscpeNot reported7.0.2Not reportedNVD-CVE-2026-60137Not reported

[Debian bug #1142510]

OpenFactory catalog packages

[Debian 13 (Trixie)]

  • [wordpress]Betroffen
    Details (6)

    • 6.8.3+dfsg1-0+deb13u1 · all · trixie

      Betroffen · Behoben: 6.8.6+dfsg1-0+deb13u1

      nvd · wordpress · debian · 13

    • 6.8.3+dfsg1-0+deb13u1 · all · trixie

      Betroffen · Behoben: 6.8.6+dfsg1-0+deb13u1

      nvd · wordpress · debian · 13

    • 6.8.10+dfsg1-0+deb13u1 · all · trixie-security

      Behoben · Behoben: 6.8.6+dfsg1-0+deb13u1

      nvd · wordpress · debian · 13

    • 6.8.6+dfsg1-0+deb13u1 · all · trixie-security · Historical version

      Behoben · Behoben: 6.8.6+dfsg1-0+deb13u1

      nvd · wordpress · debian · 13

    • 6.8.7+dfsg1-0+deb13u1 · all · trixie-security

      Behoben · Behoben: 6.8.6+dfsg1-0+deb13u1

      nvd · wordpress · debian · 13

    • 6.8.7+dfsg1-0+deb13u1 · all · trixie-security · Historical version

      Behoben · Behoben: 6.8.6+dfsg1-0+deb13u1

      nvd · wordpress · debian · 13

  • [wordpress-l10n]Betroffen

    Quellpaket: [wordpress]

    Details (6)

    • 6.8.3+dfsg1-0+deb13u1 · all · trixie

      Betroffen · Behoben: 6.8.6+dfsg1-0+deb13u1

      nvd · wordpress · debian · 13

    • 6.8.3+dfsg1-0+deb13u1 · all · trixie

      Betroffen · Behoben: 6.8.6+dfsg1-0+deb13u1

      nvd · wordpress · debian · 13

    • 6.8.10+dfsg1-0+deb13u1 · all · trixie-security

      Behoben · Behoben: 6.8.6+dfsg1-0+deb13u1

      nvd · wordpress · debian · 13

    • 6.8.6+dfsg1-0+deb13u1 · all · trixie-security · Historical version

      Behoben · Behoben: 6.8.6+dfsg1-0+deb13u1

      nvd · wordpress · debian · 13

    • 6.8.7+dfsg1-0+deb13u1 · all · trixie-security

      Behoben · Behoben: 6.8.6+dfsg1-0+deb13u1

      nvd · wordpress · debian · 13

    • 6.8.7+dfsg1-0+deb13u1 · all · trixie-security · Historical version

      Behoben · Behoben: 6.8.6+dfsg1-0+deb13u1

      nvd · wordpress · debian · 13

  • [wordpress-theme-twentytwentyfive]Betroffen

    Quellpaket: [wordpress]

    Details (6)

    • 6.8.3+dfsg1-0+deb13u1 · all · trixie

      Betroffen · Behoben: 6.8.6+dfsg1-0+deb13u1

      nvd · wordpress · debian · 13

    • 6.8.3+dfsg1-0+deb13u1 · all · trixie

      Betroffen · Behoben: 6.8.6+dfsg1-0+deb13u1

      nvd · wordpress · debian · 13

    • 6.8.10+dfsg1-0+deb13u1 · all · trixie-security

      Behoben · Behoben: 6.8.6+dfsg1-0+deb13u1

      nvd · wordpress · debian · 13

    • 6.8.6+dfsg1-0+deb13u1 · all · trixie-security · Historical version

      Behoben · Behoben: 6.8.6+dfsg1-0+deb13u1

      nvd · wordpress · debian · 13

    • 6.8.7+dfsg1-0+deb13u1 · all · trixie-security · Historical version

      Behoben · Behoben: 6.8.6+dfsg1-0+deb13u1

      nvd · wordpress · debian · 13

    • 6.8.7+dfsg1-0+deb13u1 · all · trixie-security

      Behoben · Behoben: 6.8.6+dfsg1-0+deb13u1

      nvd · wordpress · debian · 13

  • [wordpress-theme-twentytwentyfour]Betroffen

    Quellpaket: [wordpress]

    Details (6)

    • 6.8.3+dfsg1-0+deb13u1 · all · trixie

      Betroffen · Behoben: 6.8.6+dfsg1-0+deb13u1

      nvd · wordpress · debian · 13

    • 6.8.3+dfsg1-0+deb13u1 · all · trixie

      Betroffen · Behoben: 6.8.6+dfsg1-0+deb13u1

      nvd · wordpress · debian · 13

    • 6.8.10+dfsg1-0+deb13u1 · all · trixie-security

      Behoben · Behoben: 6.8.6+dfsg1-0+deb13u1

      nvd · wordpress · debian · 13

    • 6.8.6+dfsg1-0+deb13u1 · all · trixie-security · Historical version

      Behoben · Behoben: 6.8.6+dfsg1-0+deb13u1

      nvd · wordpress · debian · 13

    • 6.8.7+dfsg1-0+deb13u1 · all · trixie-security

      Behoben · Behoben: 6.8.6+dfsg1-0+deb13u1

      nvd · wordpress · debian · 13

    • 6.8.7+dfsg1-0+deb13u1 · all · trixie-security · Historical version

      Behoben · Behoben: 6.8.6+dfsg1-0+deb13u1

      nvd · wordpress · debian · 13

  • [wordpress-theme-twentytwentythree]Betroffen

    Quellpaket: [wordpress]

    Details (6)

    • 6.8.3+dfsg1-0+deb13u1 · all · trixie

      Betroffen · Behoben: 6.8.6+dfsg1-0+deb13u1

      nvd · wordpress · debian · 13

    • 6.8.3+dfsg1-0+deb13u1 · all · trixie

      Betroffen · Behoben: 6.8.6+dfsg1-0+deb13u1

      nvd · wordpress · debian · 13

    • 6.8.10+dfsg1-0+deb13u1 · all · trixie-security

      Behoben · Behoben: 6.8.6+dfsg1-0+deb13u1

      nvd · wordpress · debian · 13

    • 6.8.6+dfsg1-0+deb13u1 · all · trixie-security · Historical version

      Behoben · Behoben: 6.8.6+dfsg1-0+deb13u1

      nvd · wordpress · debian · 13

    • 6.8.7+dfsg1-0+deb13u1 · all · trixie-security · Historical version

      Behoben · Behoben: 6.8.6+dfsg1-0+deb13u1

      nvd · wordpress · debian · 13

    • 6.8.7+dfsg1-0+deb13u1 · all · trixie-security

      Behoben · Behoben: 6.8.6+dfsg1-0+deb13u1

      nvd · wordpress · debian · 13

[Debian 12 (Bookworm)]

  • [wordpress]Nicht betroffen
    Details (4)

    • 6.1.9+dfsg1-0+deb12u1 · all · bookworm

      Nicht betroffen

      nvd · wordpress · debian · bookworm

    • 6.1.9+dfsg1-0+deb12u1 · all · bookworm

      Nicht betroffen

      nvd · wordpress · debian · bookworm

    • 6.1.9+dfsg1-0+deb12u1 · all · bookworm-security

      Nicht betroffen

      nvd · wordpress · debian · bookworm

    • 6.1.9+dfsg1-0+deb12u1 · all · bookworm-security

      Nicht betroffen

      nvd · wordpress · debian · bookworm

  • [wordpress-l10n]Nicht betroffen

    Quellpaket: [wordpress]

    Details (4)

    • 6.1.9+dfsg1-0+deb12u1 · all · bookworm

      Nicht betroffen

      nvd · wordpress · debian · bookworm

    • 6.1.9+dfsg1-0+deb12u1 · all · bookworm

      Nicht betroffen

      nvd · wordpress · debian · bookworm

    • 6.1.9+dfsg1-0+deb12u1 · all · bookworm-security

      Nicht betroffen

      nvd · wordpress · debian · bookworm

    • 6.1.9+dfsg1-0+deb12u1 · all · bookworm-security

      Nicht betroffen

      nvd · wordpress · debian · bookworm

  • [wordpress-theme-twentytwentyone]Nicht betroffen

    Quellpaket: [wordpress]

    Details (4)

    • 6.1.9+dfsg1-0+deb12u1 · all · bookworm

      Nicht betroffen

      nvd · wordpress · debian · bookworm

    • 6.1.9+dfsg1-0+deb12u1 · all · bookworm

      Nicht betroffen

      nvd · wordpress · debian · bookworm

    • 6.1.9+dfsg1-0+deb12u1 · all · bookworm-security

      Nicht betroffen

      nvd · wordpress · debian · bookworm

    • 6.1.9+dfsg1-0+deb12u1 · all · bookworm-security

      Nicht betroffen

      nvd · wordpress · debian · bookworm

  • [wordpress-theme-twentytwentythree]Nicht betroffen

    Quellpaket: [wordpress]

    Details (4)

    • 6.1.9+dfsg1-0+deb12u1 · all · bookworm

      Nicht betroffen

      nvd · wordpress · debian · bookworm

    • 6.1.9+dfsg1-0+deb12u1 · all · bookworm

      Nicht betroffen

      nvd · wordpress · debian · bookworm

    • 6.1.9+dfsg1-0+deb12u1 · all · bookworm-security

      Nicht betroffen

      nvd · wordpress · debian · bookworm

    • 6.1.9+dfsg1-0+deb12u1 · all · bookworm-security

      Nicht betroffen

      nvd · wordpress · debian · bookworm

  • [wordpress-theme-twentytwentytwo]Nicht betroffen

    Quellpaket: [wordpress]

    Details (4)

    • 6.1.9+dfsg1-0+deb12u1 · all · bookworm

      Nicht betroffen

      nvd · wordpress · debian · bookworm

    • 6.1.9+dfsg1-0+deb12u1 · all · bookworm

      Nicht betroffen

      nvd · wordpress · debian · bookworm

    • 6.1.9+dfsg1-0+deb12u1 · all · bookworm-security

      Nicht betroffen

      nvd · wordpress · debian · bookworm

    • 6.1.9+dfsg1-0+deb12u1 · all · bookworm-security

      Nicht betroffen

      nvd · wordpress · debian · bookworm

Beobachtet:

Referenzen

[CERT-Bund public advisories] · [CISA Known Exploited Vulnerabilities (OSINT)] · [Debian Security Tracker] · [FIRST EPSS] · [National Vulnerability Database (NVD)] · [OSV Package Vulnerability Database]