WordPress 6.9.0–6.9.4、7.0.0–7.0.1版本存在未授权远程代码执行漏洞，攻击者无需任何身份认证即可通过 REST API 批处理接口注入 SQL 语句，进一步创建管理员账号并上传 webshell，最终完全控制目标服务器。

在边缘/WAF 侧同时拦截 /wp-json/batch/v1 路径及 rest_route=/batch/v1 查询参数的请求，禁止未授权访问批处理端点 通过 rest_pre_dispatch 过滤器强制批处理端点要求身份认证 WordPress 官方已发布安全更新，请尽快升级至 WordPress 7.0.2；仍在 6.9 分支的站点请升级至 WordPress 6.9.5