CVE-2026-8418WordPress Games Catalog 插件在版本 1.2.0 及以下存在跨站请求伪造（CSRF）漏洞。该漏洞源于 `gc_crud()` 函数在处理删除请求时，未正确调用 `wp_verify_nonce()` 或 `check_admin_referer()` 进行验证。未经身份验证的攻击者可诱导网站管理员点击恶意链接，从而在管理员不知情的情况下删除任意游戏目录条目及关联的 WordPress 文章，造成数据完整性受损。
该漏洞的核心在于 WordPress 插件开发中关键安全机制的缺失。在受影响版本的 `admin-crud.php` 文件中，`gc_crud()` 函数负责处理数据的增删改查操作。当 `action` 参数被设置为 `delete` 时，程序直接根据传入的 ID 执行删除逻辑，而完全跳过了 WordPress 标准的安全检查流程。具体而言，代码中未调用 `wp_verify_nonce()` 或 `check_admin_referer()` 函数来验证请求的 Token（Nonce），导致无法区分请求是由管理员本人发起还是由第三方伪造。
利用方式主要依赖于社会工程学攻击。由于该操作通过 GET 请求触发，攻击者可以构造一个包含特制 URL 的恶意链接（例如 `admin-crud.php?action=delete&id=TARGET_ID`）。攻击者本身并不需要具备网站的管理权限，但他们可以诱骗已登录的管理员访问该链接。一旦管理员点击，浏览器会自动携带其身份凭证发送请求，服务器误以为是合法操作，进而执行删除指令，导致特定的游戏记录及关联文章被永久移除。