CVE-2025-14845: CSRF em NS IE Compatibility Fixer para WordPress

A exploração bem-sucedida desta vulnerabilidade CSRF permite que um atacante modifique as configurações do plugin NS IE Compatibility Fixer sem a necessidade de autenticação. Isso pode levar a alterações significativas no comportamento do site, como a alteração de configurações de compatibilidade do navegador, a injeção de código malicioso ou a redirecionamento de usuários para sites maliciosos. O impacto potencial é alto, especialmente em sites com acesso privilegiado ou que processam informações sensíveis, pois um atacante pode comprometer a integridade do site e a segurança dos dados dos usuários. A ausência de validação de nonce torna a exploração relativamente simples, exigindo apenas a criação de uma requisição HTTP forjada e a indução do administrador a executá-la.

WordPress websites utilizing the NS IE Compatibility Fixer plugin, particularly those with shared hosting environments or where administrative privileges are not strictly controlled, are at increased risk. Sites with legacy WordPress configurations or those lacking robust security practices are also more vulnerable.

• wordpress / composer / npm:

grep -r 'settings_update' /var/www/html/wp-content/plugins/ns-ie-compatibility-fixer/

• wordpress / composer / npm:

wp plugin list --status=inactive | grep 'ns-ie-compatibility-fixer'

• generic web: Check for unusual plugin settings modifications in the WordPress admin panel. • generic web: Monitor WordPress access logs for suspicious requests targeting plugin settings endpoints.

1. 2026-01-07Disclosure

   disclosure

1. Reservado2025-12-17
2. Publicada2026-01-07
3. Modificada2026-04-08
4. EPSS atualizado2026-03-23

A mitigação primária para esta vulnerabilidade é atualizar o plugin NS IE Compatibility Fixer para a versão corrigida, assim que estiver disponível. Enquanto a atualização não estiver disponível, considere implementar medidas de segurança adicionais, como a restrição de acesso às páginas de configuração do plugin, a implementação de validação de nonce personalizada ou o uso de um firewall de aplicação web (WAF) que possa detectar e bloquear requisições CSRF. Além disso, é crucial educar os administradores sobre os riscos de CSRF e incentivá-los a ter cuidado ao clicar em links ou executar ações em sites desconhecidos. Após a atualização, confirme a correção verificando se as configurações do plugin são protegidas contra modificações não autorizadas.