CVE-2025-63040: CSRF em Post Snippets para WordPress

A exploração bem-sucedida desta vulnerabilidade CSRF pode permitir que um atacante modifique o conteúdo de posts, altere configurações do plugin ou execute outras ações administrativas sem a permissão do usuário. Isso pode levar à defacement do site, roubo de informações ou até mesmo à tomada de controle do site. O impacto é ampliado em sites com muitos usuários ou com posts sensíveis, pois um atacante pode explorar a vulnerabilidade em larga escala. A ausência de validação adequada de referências em requisições HTTP torna possível a manipulação de ações do plugin.

Websites using the Post Snippets plugin, particularly those running older versions (0.0.0–4.0.11), are at risk. Shared hosting environments where plugin updates are managed centrally are also potentially vulnerable if they haven't been updated to the latest version.

• wordpress / composer / npm:

grep -r 'post-snippets/includes/class-post-snippets.php' . |
 grep -i 'wp_send_json'

• generic web:

curl -I https://example.com/wp-content/plugins/post-snippets/includes/class-post-snippets.php | grep -i 'server'

1. 2025-12-31Disclosure

   disclosure

1. Reservado2025-10-24
2. Publicada2025-12-31
3. Modificada2026-04-28
4. EPSS atualizado2026-03-23

A mitigação primária é a atualização imediata do plugin Post Snippets para a versão 4.0.12 ou superior. Enquanto a atualização não for possível, implemente medidas de proteção CSRF adicionais, como a utilização de tokens CSRF em todas as requisições críticas do plugin. Considere a utilização de um Web Application Firewall (WAF) com regras para bloquear requisições CSRF suspeitas. Verifique se o plugin possui opções de configuração para habilitar a proteção CSRF por padrão.

Instalações ativas

20KConhecido

Avaliação do plugin