CVE-2025-14168: CSRF in WP DB Booster WordPress Plugin

यह CSRF भेद्यता हमलावरों के लिए साइट डेटाबेस से संवेदनशील जानकारी को हटाने या साइट की कार्यक्षमता को बाधित करने का एक सीधा रास्ता प्रदान करती है। हमलावर एक दुर्भावनापूर्ण लिंक या फॉर्म का उपयोग करके साइट प्रशासक को धोखा दे सकते हैं, जिससे अनजाने में डेटाबेस रिकॉर्ड हटा दिए जाएंगे। इससे साइट की सामग्री का नुकसान हो सकता है, उपयोगकर्ताओं के लिए कार्यक्षमता बाधित हो सकती है, और साइट की प्रतिष्ठा को नुकसान हो सकता है। चूंकि यह भेद्यता गैर-प्रमाणित हमलावरों को प्रभावित करती है, इसलिए इसका शोषण करना अपेक्षाकृत आसान है, खासकर यदि हमलावर साइट प्रशासक को फ़िशिंग या सोशल इंजीनियरिंग तकनीकों के माध्यम से लक्षित कर सकता है।

WordPress sites utilizing the WP DB Booster plugin, particularly those with site administrators who are susceptible to social engineering attacks, are at risk. Shared hosting environments where multiple WordPress sites share the same server resources could also be affected, as an attacker could potentially exploit the vulnerability on one site to impact others.

• wordpress / composer / npm:

grep -r 'cleanup_all' /var/www/html/wp-content/plugins/wp-db-booster/

• wordpress / composer / npm:

wp plugin list --status=inactive | grep 'wp-db-booster'

• wordpress / composer / npm:

curl -I 'https://your-wordpress-site.com/wp-admin/admin-ajax.php?action=cleanup_all' | grep '200 OK'

1. 2025-12-20Disclosure

   disclosure

1. आरक्षित2025-12-05
2. प्रकाशित2025-12-20
3. संशोधित2026-04-08
4. EPSS अद्यतन2026-03-23

CVE-2025-14168 को कम करने के लिए, सबसे प्रभावी उपाय WP DB Booster प्लगइन को नवीनतम संस्करण में अपडेट करना है, जिसमें भेद्यता को ठीक किया गया है। यदि तत्काल अपडेट संभव नहीं है, तो एक वेब एप्लिकेशन फ़ायरवॉल (WAF) को लागू किया जा सकता है ताकि गैर-सत्यापित CSRF अनुरोधों को ब्लॉक किया जा सके। WAF को उन विशिष्ट AJAX क्रियाओं को लक्षित करने के लिए कॉन्फ़िगर किया जाना चाहिए जो भेद्य हैं, जैसे कि cleanup_all। इसके अतिरिक्त, वर्डप्रेस साइट प्रशासकों को CSRF हमलों के बारे में जागरूक होना चाहिए और संदिग्ध लिंक या फॉर्म पर क्लिक करते समय सावधानी बरतनी चाहिए।