CVE-2025-14168: CSRF em WP DB Booster WordPress Plugin

Um atacante pode explorar essa vulnerabilidade CSRF para executar ações não autorizadas em nome de um administrador do site WordPress. Ao criar uma requisição forjada e induzir um administrador a clicar em um link malicioso, o atacante pode deletar dados críticos do banco de dados, incluindo rascunhos de posts, revisões, comentários e metadados. Isso pode levar à perda de conteúdo, interrupção do serviço e, potencialmente, comprometer a integridade do site. A ausência de validação de nonce facilita a exploração, tornando a vulnerabilidade relativamente simples de ser aproveitada.

WordPress sites utilizing the WP DB Booster plugin, particularly those with site administrators who are susceptible to social engineering attacks, are at risk. Shared hosting environments where multiple WordPress sites share the same server resources could also be affected, as an attacker could potentially exploit the vulnerability on one site to impact others.

• wordpress / composer / npm:

grep -r 'cleanup_all' /var/www/html/wp-content/plugins/wp-db-booster/

• wordpress / composer / npm:

wp plugin list --status=inactive | grep 'wp-db-booster'

• wordpress / composer / npm:

curl -I 'https://your-wordpress-site.com/wp-admin/admin-ajax.php?action=cleanup_all' | grep '200 OK'

1. 2025-12-20Disclosure

   disclosure

1. Reservado2025-12-05
2. Publicada2025-12-20
3. Modificada2026-04-08
4. EPSS atualizado2026-03-23

A mitigação primária é atualizar o plugin WP DB Booster para a versão corrigida, assim que disponível. Enquanto a atualização não for possível, implemente medidas de segurança adicionais, como a utilização de um plugin de segurança WordPress que ofereça proteção CSRF. Considere também restringir o acesso à administração do WordPress, utilizando autenticação de dois fatores (2FA) para dificultar o acesso não autorizado. Monitore os logs do WordPress em busca de atividades suspeitas e implemente regras de firewall (WAF) para bloquear requisições maliciosas.