WordPress 6.9至7.0.1版本存在严重RCE漏洞，由三个漏洞组合利用：REST API批量请求路由混淆（CVE-2026-63030）绕过参数检查，WP_Query的author__not_in参数SQL注入（CVE-2026-60137）污染缓存，再通过oEmbed持久化及Customizer权限切换，最终以管理员身份创建账户并安装恶意插件实现远程代码执行。该漏洞利用巧妙，已获修复。