CVE-2025-12685: CSRF in WPBookit WordPress Plugin

攻击者可以利用此 CSRF 漏洞，无需身份验证即可删除 WPBookit 插件中存储的任何客户信息。这可能导致数据丢失、服务中断，并可能对插件用户造成声誉损害。攻击者可以通过诱骗用户访问恶意链接或提交包含恶意请求的表单来触发此漏洞。由于该漏洞无需身份验证，因此攻击范围广泛，潜在影响巨大。攻击者可以利用此漏洞进行大规模的客户数据删除，从而对 WordPress 网站造成严重破坏。

Websites utilizing the WPBookit WordPress plugin, particularly those with sensitive customer data, are at risk. Shared hosting environments where plugin updates are managed centrally are also at increased risk, as they may be slower to apply security patches. Sites with weak access controls or a lack of CSRF protection on other critical functionalities are also more vulnerable.

• wordpress / composer / npm:

grep -r 'wp_bookit_delete_customer' /var/www/html/wp-content/plugins/

• wordpress / composer / npm:

wp plugin list --status=all | grep wp-bookit

• wordpress / composer / npm:

wp plugin update wp-bookit

1. 2026-01-02Disclosure

   disclosure

1. 已保留2025-11-04
2. 发布日期2026-01-02
3. 修改日期2026-04-02
4. EPSS 更新日期2026-03-23

最有效的缓解措施是立即将 WPBookit 插件更新到最新版本，该版本已修复此漏洞。如果无法立即更新，可以考虑以下临时缓解措施：实施严格的 CSRF 令牌验证机制，确保所有客户删除请求都经过验证。使用 WordPress 插件防火墙 (WAF) 或安全插件，以检测和阻止潜在的 CSRF 攻击。限制对插件的管理访问权限，只允许授权用户进行客户删除操作。在更新后，请验证插件功能是否正常，确认漏洞已成功修复。