CVE-2025-13360 WordPress Quantic Social Image Hover插件CSRF漏洞

Quantic Social Image Hover是WordPress的一个社交图片悬停分享插件。该插件在所有版本（直至1.0.8）中存在跨站请求伪造（CSRF）漏洞。漏洞的根本原因在于插件的设置更新功能缺少必要的nonce验证机制。攻击者可以利用此漏洞，通过构造恶意链接诱导已登录的网站管理员点击，从而在不知情的情况下更新插件设置。

该漏洞源于插件tw-image-hover.php文件中设置更新功能的实现缺陷。代码在处理设置更新请求时未验证请求的来源合法性，攻击者可通过社工手段诱导管理员访问恶意链接，利用其已认证的身份执行未经授权的操作。这允许攻击者修改插件配置并注入恶意脚本到页面中。