CVE-2025-62880: CSRF em Custom 404 Pro WordPress

A vulnerabilidade CSRF no Custom 404 Pro permite que um atacante, através de um site malicioso ou e-mail, induza um usuário autenticado a executar ações indesejadas no site WordPress onde o plugin está instalado. Isso pode incluir a modificação de configurações do plugin, a criação de novas páginas 404 personalizadas ou até mesmo a exclusão de conteúdo existente. O impacto é amplificado se o usuário possuir privilégios de administrador, pois o atacante poderá obter controle total sobre o site. A exploração bem-sucedida pode levar à defacement do site, roubo de dados sensíveis ou até mesmo à instalação de malware.

WordPress websites utilizing the Custom 404 Pro plugin, particularly those running older versions (0.0.0–3.12.0), are at risk. Shared hosting environments where plugin updates are managed centrally are also at increased risk, as they may be slower to apply security patches. Sites with administrator accounts that are frequently used or have weak passwords are particularly vulnerable.

• wordpress / composer / npm:

grep -r 'Custom 404 Pro' /var/www/html/wp-content/plugins/
wp plugin list | grep 'Custom 404 Pro'

• generic web:

curl -I https://your-wordpress-site.com/wp-admin/admin-ajax.php?action=custom_404_pro_save_settings&setting_name=some_setting&setting_value=some_value | grep HTTP/1.1

1. 2025-12-22Disclosure

   disclosure

1. Reservado2025-10-24
2. Publicada2025-12-22
3. Modificada2026-04-28
4. EPSS atualizado2026-03-23

A mitigação primária para esta vulnerabilidade é atualizar o plugin Custom 404 Pro para a versão 3.12.1 ou superior. Se a atualização imediata não for possível, considere implementar medidas de segurança adicionais, como a utilização de um Web Application Firewall (WAF) com regras CSRF ativadas. Além disso, revise as configurações do plugin para garantir que as permissões de acesso estejam adequadamente restritas. Monitore os logs do WordPress em busca de atividades suspeitas, como requisições inesperadas ou modificações não autorizadas.

Avaliação do plugin