Kerngegevens
- Leverancier
- WordPress
- Product
- WordPress
- Soort software
- CMS
- Getroffen versies
- WordPress vanaf 6.8 tot 6.8.6, vanaf 6.9 tot 6.9.5, vanaf 7.0 tot 7.0.2
- Oplossing
- Update beschikbaar
- Opgeloste versie
- WordPress 6.8.6
- WordPress 6.9.5
- WordPress 7.0.2
- CVE gepubliceerd
- 17 juli 2026
- Op de KEV-lijst sinds
- 21 juli 2026
- Gepubliceerd op LekkenRadar
- 8 oktober 2026
- Laatst gewijzigd bij NVD
- 7 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In WordPress zit een fout in de manier waarop de parameter author__not_in van WP_Query wordt gecontroleerd. Die invoer wordt niet goed schoongemaakt, waardoor SQL-injectie mogelijk is. Dat gebeurt wanneer een plugin of thema onbetrouwbare invoer aan deze parameter doorgeeft. Het lek wordt actief misbruikt.
Wie loopt risico?
Je loopt risico als je website draait op WordPress 6.8.x vóór 6.8.6, 6.9.x vóór 6.9.5 of 7.0.x vóór 7.0.2. De fout is alleen te misbruiken als een plugin of thema ongefilterde invoer van bezoekers doorgeeft aan author__not_in. Een aanvaller kan dit via het netwerk proberen, zonder inloggegevens. De aanval is wel vrij lastig uit te voeren, wat de score van 5,9 verklaart.
Wat moet je doen?
Controleer je WordPress-versie
Kijk in het beheerscherm welke versie van WordPress je gebruikt en of die onder de getroffen versies valt (6.8.x, 6.9.x of 7.0.x).
Werk WordPress bij
Update naar 6.8.6, 6.9.5 of 7.0.2, afhankelijk van de versielijn die je gebruikt. Doe dit zo snel mogelijk, omdat het lek actief wordt misbruikt.
Controleer plugins en thema's
Het lek werkt via plugins of thema's die onbetrouwbare invoer doorgeven. Werk ze ook bij en verwijder wat je niet meer gebruikt.
Let op verdachte activiteit
Kijk in je logbestanden en gebruikersoverzicht of er iets ongewoons is gebeurd. Laat je hosting- of beveiligingspartner meekijken als je twijfelt.
Volg het advies van de leverancier
Lees het beveiligingsadvies van WordPress voor meer details over de opgeloste versies.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
De parameter author__not_in van WP_Query wordt onvoldoende gesaneerd voordat die in een SQL-query terechtkomt. Hierdoor kan SQL-injectie ontstaan als een plugin of thema onbetrouwbare invoer aan deze parameter doorgeeft. De aanvalsroute is het netwerk, zonder authenticatie en zonder gebruikersinteractie. De aanvalscomplexiteit is hoog, omdat misbruik afhangt van code in een plugin of thema die de invoer doorgeeft. De impact betreft vooral de vertrouwelijkheid van gegevens (CVSS-vector AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N).
CVSS-vector (versie 3.1, basisscore 5,9, bron: CNA)
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N- Zwakheid (CWE)
- CWE-89 · SQL-injectie (onjuiste neutralisatie van speciale elementen in een SQL-opdracht)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 5,9%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 21 juli 2026
- Deadline van CISA
- 4 augustus 2026
- Gebruikt door ransomwaregroepen
- Niet bekend