Rest-Api

WordPress ออกแพตช์ปิดช่องโหว่ reflected XSS บนหน้าล็อกอินที่ใช้ได้โดยไม่ต้องยืนยันตัวตน กระทบทุกเวอร์ชันของระบบจัดการเนื้อหานี้ ติดตามในรหัส CVE-2026-64638 คะแนน CVSS 8.9 โดยทีม pwn.ai สาธิตว่าสามารถต่อยอดเป็นการรันโค้ด PHP บนเซิร์ฟเวอร์ได้เมื่อผู้ดูแลระบบที่ล็อกอินอยู่คลิกหน้าเว็บที่ผู้โจมตีควบคุมเพียงครั้งเดียว แพตช์ออกแล้วในเวอร์ชัน 7.0.3 เมื่อวันที่ 6 สิงหาคม พร้อมย้อนแพตช์ถึงสาย 4.7

ช่องโหว่ชุด wp2shell ใน WordPress core เปิดทางให้คำขอ HTTP แบบไม่ต้องยืนยันตัวตนรันโค้ดบนเว็บไซต์ได้ ประกอบด้วย CVE-2026-63030 ความสับสนของเส้นทาง batch ใน REST API และ CVE-2026-60137 ช่องโหว่ SQL injection ใน core เมื่อนำมาต่อกันจะกลายเป็น RCE เต็มรูปแบบบนการติดตั้งพื้นฐานที่ไม่มีปลั๊กอินเลย WordPress ออก 6.9.5 และ 7.0.2 พร้อมบังคับอัปเดตอัตโนมัติ แต่ขณะนี้กลไกการโจมตีและโค้ดพิสูจน์แนวคิดถูกเผยแพร่สู่สาธารณะแล้ว