CVE-2025-13521: XSRF em WP Status Notifier para WordPress

Um atacante pode explorar essa vulnerabilidade para modificar as configurações do plugin WP Status Notifier sem a necessidade de autenticação. Isso pode levar a alterações não autorizadas no comportamento do plugin, potencialmente comprometendo a segurança e a integridade do site WordPress. O ataque geralmente envolve a criação de uma requisição maliciosa que, ao ser executada por um administrador, altera as configurações do plugin. A gravidade do impacto depende das permissões concedidas ao plugin e da sensibilidade das configurações que podem ser modificadas. A exploração bem-sucedida pode resultar em acesso não autorizado a informações sensíveis ou até mesmo na execução de código malicioso no servidor.

WordPress websites utilizing the WP Status Notifier plugin, particularly those with multiple administrators or shared hosting environments, are at increased risk. Sites where administrators frequently click on links from untrusted sources are also more vulnerable. Legacy WordPress installations with outdated security practices are especially susceptible.

• wordpress / composer / npm:

grep -r 'wp_status_notifier_settings_update' /var/www/html/wp-content/plugins/

• wordpress / composer / npm:

wp plugin list --status=active | grep 'wp-status-notifier'

• wordpress / composer / npm:

wp plugin auto-update --all

1. 2026-01-07Disclosure

   disclosure

1. Reservado2025-11-21
2. Publicada2026-01-07
3. Modificada2026-04-08
4. EPSS atualizado2026-03-23

A mitigação primária para CVE-2025-13521 é atualizar o plugin WP Status Notifier para a versão corrigida, assim que disponível. Enquanto aguarda a atualização, é possível implementar medidas de proteção adicionais, como a ativação da autenticação de dois fatores (2FA) para todos os administradores do site WordPress. Além disso, a implementação de um Web Application Firewall (WAF) pode ajudar a bloquear requisições maliciosas. Verifique se o plugin possui alguma configuração de segurança que possa ser reforçada, como a desativação de funcionalidades desnecessárias. Após a atualização, confirme a correção da vulnerabilidade verificando se as requisições de atualização de configurações exigem autenticação adequada.