CVE-2025-14904Newsletter Email Subscribe是WordPress平台上广受欢迎的邮件订阅管理插件，全球拥有大量用户。该插件旨在帮助网站管理员轻松收集和管理邮件订阅者，实现新闻简报的有效推送。然而，安全研究人员发现该插件在2.4及之前所有版本中存在严重的跨站请求伪造（CSRF）漏洞。漏洞的根本原因在于nels_settings_page函数对nonce验证的实现存在缺陷，未能正确验证请求的来源和有效性。攻击者可以利用这一漏洞，通过构造恶意网页或链接，诱骗已登录的管理员在不知情的情况下向目标网站发起请求，从而非法修改插件设置，包括订阅配置、邮件模板、接收邮箱等敏感参数。此类攻击虽然不会直接导致服务器被入侵或数据泄露，但可能被用于劫持邮件订阅功能、窃取订阅者信息或进行钓鱼攻击，对网站运营和用户信任造成严重影响。
该CSRF漏洞存在于插件的设置更新功能中。具体来说，当管理员通过WordPress后台访问插件设置页面并进行配置保存时，系统会生成一个nonce值用于验证请求的合法性。然而，由于nels_settings_page函数的实现缺陷，攻击者可以绕过这一验证机制。攻击者需要构造一个包含恶意参数的HTML表单，该表单会自动提交到目标网站的wp-admin/admin-post.php或类似的处理端点。由于浏览器会自动携带目标域的Cookie信息，且服务器未能正确验证nonce，服务器会认为这是一个来自合法管理员的请求并执行相应的设置更新操作。攻击者可以利用此漏洞修改插件的邮件接收地址、订阅确认链接、邮件模板内容等配置，甚至可能通过修改重定向URL将订阅者引导至钓鱼页面。值得注意的是，该漏洞不需要攻击者具有任何认证身份，仅需诱骗管理员点击恶意链接即可实施攻击。