CVE-2025-14904: CSRF em Newsletter Email Subscribe WordPress

A exploração bem-sucedida desta vulnerabilidade CSRF permite que um atacante execute ações em nome de um administrador do site WordPress sem a necessidade de credenciais válidas. Isso pode resultar na modificação de configurações críticas do plugin, como o endereço de e-mail para notificações, a integração com serviços de terceiros ou até mesmo a inclusão de código malicioso. Um atacante poderia, por exemplo, alterar o endereço de e-mail de envio de newsletters para um endereço controlado por ele, redirecionando o tráfego e potencialmente comprometendo a reputação do site. A ausência de validação adequada de nonce torna o ataque relativamente simples de executar, especialmente se o atacante conseguir induzir um administrador a clicar em um link malicioso.

WordPress websites utilizing the Newsletter Email Subscribe plugin, particularly those with site administrators who are susceptible to social engineering attacks, are at risk. Shared hosting environments where plugin updates are managed centrally are also at increased risk, as attackers could potentially compromise multiple websites simultaneously.

• wordpress / composer / npm:

grep -r 'nels_settings_page' /var/www/html/wp-content/plugins/newsletter-email-subscribe/

• wordpress / composer / npm:

wp plugin list --status=all | grep 'Newsletter Email Subscribe'

• wordpress / composer / npm:

wp plugin update --all

1. 2026-01-07Disclosure

   disclosure

1. Reservado2025-12-18
2. Publicada2026-01-07
3. Modificada2026-04-08
4. EPSS atualizado2026-03-23

A mitigação primária para esta vulnerabilidade é a atualização imediata do plugin Newsletter Email Subscribe para a versão 2.5.4 ou superior. Se a atualização imediata não for possível devido a incompatibilidades com outros plugins ou temas, considere desativar temporariamente o plugin até que a atualização possa ser realizada com segurança. Como medida adicional, implemente políticas de segurança robustas, como a exigência de autenticação multifator (MFA) para todos os administradores do site. Além disso, utilize um Web Application Firewall (WAF) configurado para bloquear requisições CSRF, embora isso não substitua a necessidade de atualização do plugin.