CVE-2025-13521: XSRF dans WP Status Notifier WordPress

Un attaquant peut exploiter cette vulnérabilité XSRF en créant une requête malveillante et en incitant un administrateur du site à la soumettre. Cela pourrait permettre à l'attaquant de modifier les paramètres du plugin WP Status Notifier, potentiellement compromettant la configuration du site WordPress. Les modifications pourraient inclure la modification des paramètres de notification, l'ajout de code malveillant ou la redirection des utilisateurs vers des sites malveillants. Bien que l'impact direct soit limité au plugin lui-même, une compromission réussie pourrait servir de tremplin pour des attaques plus larges sur le site WordPress.

WordPress websites utilizing the WP Status Notifier plugin, particularly those with multiple administrators or shared hosting environments, are at increased risk. Sites where administrators frequently click on links from untrusted sources are also more vulnerable. Legacy WordPress installations with outdated security practices are especially susceptible.

• wordpress / composer / npm:

grep -r 'wp_status_notifier_settings_update' /var/www/html/wp-content/plugins/

• wordpress / composer / npm:

wp plugin list --status=active | grep 'wp-status-notifier'

• wordpress / composer / npm:

wp plugin auto-update --all

1. 2026-01-07Disclosure

   disclosure

1. Réservé2025-11-21
2. Publiée2026-01-07
3. Modifiée2026-04-08
4. EPSS mis à jour2026-03-23

La mitigation principale consiste à mettre à jour le plugin WP Status Notifier vers la dernière version disponible, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, des mesures temporaires peuvent être prises. Il est recommandé de désactiver temporairement le plugin si possible. En alternative, l'ajout de protections XSRF au niveau du serveur web (par exemple, en configurant correctement les en-têtes HTTP) peut aider à atténuer le risque. Vérifiez après la mise à jour que les paramètres du plugin sont conformes à la configuration souhaitée.