CVE-2025-14999: CSRF em Latest Tabs para WordPress

Um atacante pode explorar essa vulnerabilidade para modificar as configurações do plugin Latest Tabs sem a necessidade de autenticação. Isso pode levar a alterações na funcionalidade do site, como a modificação de links, redirecionamentos maliciosos ou a inclusão de código JavaScript malicioso. O impacto é ampliado se o administrador do site clicar em um link malicioso enviado por um atacante, permitindo a execução de ações em nome do administrador. A exploração bem-sucedida pode comprometer a integridade do site e a segurança dos dados dos usuários.

WordPress sites utilizing the Latest Tabs plugin, particularly those with administrative accounts that are frequently targeted by phishing or social engineering attacks, are at risk. Shared hosting environments where multiple WordPress installations share the same server resources could also be affected if one site is compromised and used to launch attacks against others.

• wordpress / composer / npm:

grep -r 'admin-page.php' /var/www/html/wp-content/plugins/latest-tabs/

• wordpress / composer / npm:

wp plugin list --status=all | grep 'latest-tabs'

• wordpress / composer / npm:

wp plugin update latest-tabs --all

1. 2026-01-07Disclosure

   disclosure

1. Reservado2025-12-20
2. Publicada2026-01-07
3. Modificada2026-04-08
4. EPSS atualizado2026-03-23

A mitigação primária é atualizar o plugin Latest Tabs para a versão 1.6 ou superior, que corrige a vulnerabilidade CSRF. Como alternativa, se a atualização imediata não for possível, implemente medidas de segurança adicionais, como a restrição de acesso ao painel de administração do WordPress e a utilização de um Web Application Firewall (WAF) para bloquear requisições suspeitas. Monitore os logs do WordPress em busca de atividades incomuns e configure alertas para detectar tentativas de modificação de configurações do plugin.