Newsletter – Send awesome emails from WordPress <= 9.1.0 - 对 Newsletter 退订的跨站请求伪造 (Cross-Site Request Forgery to Newsletter Unsubscription)
平台
wordpress
组件
newsletter
修复版本
9.1.1
CVE-2026-1051 描述了 WordPress Newsletter 插件中的跨站请求伪造 (CSRF) 漏洞。该漏洞允许未经身份验证的攻击者通过伪造请求，在登录用户不知情的情况下取消订阅邮件。该漏洞影响 Newsletter 插件的 0.0.0 到 9.1.0 版本。已发布 9.1.1 版本修复此问题。
检测此 CVE 是否影响你的项目
上传你的依赖文件，立即了解此CVE和其他CVE是否影响你。
影响与攻击场景
攻击者可以利用此 CSRF 漏洞，通过精心设计的恶意链接或表单，诱骗已登录的 WordPress 用户执行未经授权的操作，例如取消订阅邮件列表。攻击者无需身份验证即可执行此操作，只需诱骗用户访问包含恶意代码的页面即可。这可能导致用户失去重要的邮件通知，影响业务沟通和用户体验。如果邮件列表包含敏感信息，攻击者还可以通过取消订阅来阻止用户接收相关信息，从而造成更大的损失。该漏洞的潜在影响包括用户数据泄露、服务中断和声誉损害。
利用背景
该漏洞已公开披露，且存在潜在的利用风险。目前尚未观察到大规模的利用活动，但由于 CSRF 漏洞相对容易利用，攻击者可能会积极寻找利用机会。建议密切关注安全社区的动态，及时了解最新的威胁情报。该漏洞未被添加到 CISA KEV 目录。
哪些人处于风险中翻译中…
WordPress sites utilizing the Newsletter plugin are at risk. Specifically, sites with a large subscriber base or those relying heavily on email marketing are more vulnerable. Shared hosting environments where plugin updates are managed by the hosting provider may also be at increased risk if updates are not applied promptly.
检测步骤翻译中…
• wordpress / composer / npm:
grep -r 'hook_newsletter_action()' /var/www/html/wp-content/plugins/newsletter/• wordpress / composer / npm:
wp plugin list | grep newsletter• wordpress / composer / npm:
wp plugin update newsletter --all• generic web: Check WordPress plugin directory for reports of CVE-2026-1051 exploitation.
攻击时间线
- Disclosure
disclosure
威胁情报
漏洞利用状态
EPSS
0.01% (3% 百分位)
CISA SSVC
CVSS 向量
这些指标意味着什么？
- Attack Vector
- 网络 — 可通过互联网远程利用，无需物理或本地访问。攻击面最大。
- Attack Complexity
- 低 — 无需特殊条件，可以稳定地利用漏洞。
- Privileges Required
- 无 — 无需认证，无需凭证即可利用。
- User Interaction
- 需要 — 受害者必须打开文件、点击链接或访问特制页面。
- Scope
- 未改变 — 影响仅限于脆弱组件本身。
- Confidentiality
- 无 — 无机密性影响。
- Integrity
- 低 — 攻击者可修改部分数据，影响有限。
- Availability
- 无 — 无可用性影响。
受影响的软件
软件包信息
- 活跃安装数
- 200K热门
- 插件评分
- 4.6
- 需要WordPress版本
- 6.1+
- 兼容至
- 6.9.4
- 需要PHP版本
- 7.0+
弱点分类 (CWE)
时间线
- 已保留
- 发布日期
- 修改日期
- EPSS 更新日期
缓解措施和替代方案
最有效的缓解措施是立即将 Newsletter 插件升级至 9.1.1 或更高版本。如果无法立即升级，可以考虑使用 WordPress 插件防火墙 (WAF) 来阻止 CSRF 攻击。配置 WAF 以验证所有请求的 nonce 值，并拒绝无效的请求。此外，建议审查 WordPress 插件的权限设置，确保用户只拥有必要的权限。定期扫描 WordPress 网站，查找潜在的安全漏洞，并及时修复。
修复方法
更新到 9.1.1 版本，或更新的修复版本
CVE 安全通讯
漏洞分析和关键警报直接发送到您的邮箱。
常见问题
什么是 CVE-2026-1051 — CSRF 在 Newsletter WordPress 插件中？
CVE-2026-1051 是 WordPress Newsletter 插件中发现的跨站请求伪造 (CSRF) 漏洞，影响版本 0.0.0–9.1.0。攻击者可以利用此漏洞在用户不知情的情况下取消订阅邮件。
我是否受到 CVE-2026-1051 在 Newsletter WordPress 插件中影响？
如果您正在使用 Newsletter 插件的版本低于 9.1.1，则您可能受到此漏洞的影响。请立即检查您的插件版本并进行升级。
我如何修复 CVE-2026-1051 在 Newsletter WordPress 插件中？
修复此漏洞的最佳方法是升级 Newsletter 插件至 9.1.1 或更高版本。
CVE-2026-1051 是否正在被积极利用？
目前尚未观察到大规模的利用活动，但由于 CSRF 漏洞相对容易利用，攻击者可能会积极寻找利用机会。
在哪里可以找到官方 Newsletter 插件关于 CVE-2026-1051 的公告？
请访问 Newsletter 插件的官方网站或 WordPress 插件目录，查找有关 CVE-2026-1051 的安全公告。