CVE-2025-68998: CSRF in Heateor Social Login

このCSRF脆弱性を悪用されると、攻撃者は認証済みユーザーとして、パスワードのリセット、ユーザープロファイルの変更、設定の変更など、様々な操作を実行できる可能性があります。攻撃者は、悪意のあるウェブサイトやメールを通じて、ユーザーを不正な操作を実行させることができます。この脆弱性は、Heateor Social Loginを利用しているウェブサイトのセキュリティを著しく損なう可能性があります。

WordPress websites utilizing the Heateor Social Login plugin, particularly those with a large user base or that handle sensitive user data, are at risk. Shared hosting environments where multiple websites share the same server resources are also at increased risk, as a compromise of one website could potentially lead to the compromise of others.

• wordpress / composer / npm:

grep -r 'heateor-social-login' /var/www/html/wp-content/plugins/
wp plugin list | grep heateor-social-login

• generic web:

curl -I https://your-wordpress-site.com/wp-content/plugins/heateor-social-login/ | grep -i 'heateor-social-login'

1. 2025-12-30Disclosure

   disclosure

1. 予約済み2025-12-29
2. 公開日2025-12-30
3. 更新日2026-04-28
4. EPSS 更新日2026-03-23

この脆弱性への対応策として、まずHeateor Social Loginを最新バージョンにアップデートすることを強く推奨します。アップデートが直ちに不可能である場合は、ウェブアプリケーションファイアウォール（WAF）を使用してCSRFトークン検証を強化し、不正なリクエストをブロックすることを検討してください。また、ユーザーに不審な操作を促す可能性のあるメールやリンクには注意するように促してください。アップデート後、CSRFトークンが正しく検証されていることを確認してください。