漏洞类型	解释冲突	发现时间	2026-07-18	漏洞等级	高危
MPS编号	MPS-dwju-kaol	CVE编号	CVE-2026-63030	漏洞影响广度	广

目录隐藏

2.1 OSCS 平台影响范围和处置方案

3 排查方式

漏洞危害

OSCS 描述

WordPress 是开源 PHP 内容管理系统，内置 REST API 与批处理能力，广泛用于默认站点部署、内容读取和插件生态扩展。
受影响版本中，`WP_REST_Server::serve_batch_request_v1()` 在处理批量子请求时会分别维护 `$matches` 与 `$validation` 数组，但错误子请求在修复前只进入校验结果而未同步进入匹配结果，导致后续子请求可能与错误的 REST 处理器配对执行。结合 `rest_api_loaded()` 与 `WP_REST_Server::serve_request()` 缺少对嵌套顶层 REST 流程的 `is_dispatching()` 拒绝逻辑，攻击者可借此把批处理子请求送入原本不应匿名到达的处理路径；再与 `WP_Query::author__not_in` 参数未被强制整数化的 SQL 注入问题（CVE-2026-60137）组合后，可在 `6.9.0` 至 `6.9.4` 和 `7.0.0` 至 `7.0.1` 的默认安装中形成 pre-auth RCE 利用链。
修复版本中通过在 `rest_api_loaded()` 与 `WP_REST_Server::serve_request()` 中加入 `is_dispatching()` 守卫、要求内部子请求统一走 `dispatch()`，并在 `serve_batch_request_v1()` 的错误分支中补入对应的匹配结果，修正批处理校验与处理器配对错位问题；同时配套修复将 `author__not_in` 改为经 `wp_parse_id_list()` 解析后的整数列表，从而阻断与该缺陷组合的 SQL 注入与远程代码执行链。
参考链接：https://www.oscs1024.com/hd/MPS-dwju-kaol

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围	处置方式	处置方法
wordpress [7.0.0,7.0.2)	升级	将组件 wordpress 升级至 7.0.2 及以上版本
wordpress [6.9.0,6.9.5)	缓解措施	安装 Disable WP REST API 之类的插件以禁止未认证用户使用 WordPress API，或在 WAF 同时拦截 /wp-json/batch/v1 与 rest_route=/batch/v1，或通过自定义插件在 rest_pre_dispatch 中拒绝匿名用户访问 /batch/v1。上述措施可能影响站点正常功能，仅应作为应急临时方案。
参考链接：https://www.oscs1024.com/hd/MPS-dwju-kaol