WordPress Anant Addons for Elementor 插件 <= 1.1.8 - CSRF 导致任意插件安装漏洞
平台
wordpress
组件
anant-addons-for-elementor
修复版本
1.1.9
CVE-2025-32641 描述了 Anant Addons for Elementor 插件中的跨站请求伪造 (CSRF) 漏洞。该漏洞允许攻击者在用户不知情的情况下执行未经授权的操作，可能导致数据泄露或恶意行为。该漏洞影响 Anant Addons for Elementor 的 0.0.0 至 1.1.8 版本。已发布安全补丁，建议用户尽快升级。
检测此 CVE 是否影响你的项目
上传你的依赖文件，立即了解此CVE和其他CVE是否影响你。
影响与攻击场景
攻击者可以利用此 CSRF 漏洞伪造用户的请求，从而执行各种恶意操作。例如，攻击者可以修改网站内容、更改用户权限、甚至执行未经授权的代码。由于 Elementor 插件广泛应用于 WordPress 网站，该漏洞可能影响大量网站的安全。攻击者可以通过诱骗用户点击恶意链接或访问恶意网站来触发此漏洞，从而在用户不知情的情况下执行恶意操作。如果网站存在其他漏洞，攻击者可能利用此 CSRF 漏洞进行进一步的攻击。
利用背景
目前尚未公开发现利用此漏洞的公开 POC。该漏洞已添加到 CISA KEV 目录，表明其具有中等概率被利用。建议密切关注安全社区的动态，并及时采取必要的安全措施。
威胁情报
漏洞利用状态
EPSS
0.12% (31% 百分位)
CISA SSVC
CVSS 向量
这些指标意味着什么？
- Attack Vector
- 网络 — 可通过互联网远程利用，无需物理或本地访问。攻击面最大。
- Attack Complexity
- 低 — 无需特殊条件，可以稳定地利用漏洞。
- Privileges Required
- 无 — 无需认证，无需凭证即可利用。
- User Interaction
- 需要 — 受害者必须打开文件、点击链接或访问特制页面。
- Scope
- 已改变 — 攻击可以超出脆弱组件，影响其他系统。
- Confidentiality
- 高 — 完全丧失机密性，攻击者可读取所有数据。
- Integrity
- 高 — 攻击者可写入、修改或删除任何数据。
- Availability
- 高 — 完全崩溃或资源耗尽，完全拒绝服务。
受影响的软件
软件包信息
- 活跃安装数
- 800小众
- 插件评分
- 0.0
- 需要WordPress版本
- 6.7+
- 兼容至
- 6.9.4
- 需要PHP版本
- 7.4+
弱点分类 (CWE)
时间线
- 已保留
- 发布日期
- 修改日期
- EPSS 更新日期
缓解措施和替代方案
最有效的缓解措施是立即将 Anant Addons for Elementor 升级至 1.1.6 或更高版本。如果无法立即升级，可以考虑实施一些临时缓解措施。例如，可以启用 WordPress 的 CSRF 保护功能，或者使用 Web 应用防火墙 (WAF) 来过滤恶意请求。此外，建议定期审查 WordPress 插件的权限设置，并禁用不必要的插件。升级后，请确认插件已成功更新，并检查网站是否存在任何异常行为。
修复方法
将 Anant Addons for Elementor 插件更新到最新可用版本，以缓解允许任意插件安装的 CSRF 漏洞。在 WordPress 管理面板或 WordPress 插件库中检查是否有可用的更新。
CVE 安全通讯
漏洞分析和关键警报直接发送到您的邮箱。
常见问题
什么是 CVE-2025-32641 — CSRF in Anant Addons for Elementor?
CVE-2025-32641 是 Anant Addons for Elementor 插件中的一个跨站请求伪造 (CSRF) 漏洞，允许攻击者在用户不知情的情况下执行未经授权的操作。
我是否受到 CVE-2025-32641 in Anant Addons for Elementor 的影响?
如果您正在使用 Anant Addons for Elementor 的 0.0.0 至 1.1.8 版本，则您可能受到此漏洞的影响。
我如何修复 CVE-2025-32641 in Anant Addons for Elementor?
升级 Anant Addons for Elementor 至 1.1.6 或更高版本以修复此漏洞。
CVE-2025-32641 是否正在被积极利用?
目前尚未公开发现利用此漏洞的公开 POC，但已添加到 CISA KEV 目录，表明其具有中等概率被利用。
在哪里可以找到 Anant Addons for Elementor 官方针对 CVE-2025-32641 的公告?
请访问 Anant Addons 官方网站或 WordPress 插件目录，查找有关 CVE-2025-32641 的安全公告。