平台
wordpress
组件
mtcaptcha
修复版本
2.7.3
MTCaptcha WordPress插件存在一个跨站请求伪造（CSRF）漏洞，影响所有版本，包括2.7.2及更早版本。该漏洞源于在设置更新功能中缺少或不正确的nonce验证。攻击者可以利用此漏洞通过伪造请求修改插件设置，从而可能泄露或篡改敏感数据。该漏洞已于2026年1月7日公开，建议用户尽快升级至2.7.3版本以修复此问题。
该CSRF漏洞允许未经身份验证的攻击者通过伪造请求修改MTCaptcha WordPress插件的设置。攻击者可以利用此漏洞修改插件的私钥，从而可能导致恶意行为，例如绕过验证机制或窃取敏感信息。如果攻击者能够诱使网站管理员点击恶意链接，则可以轻松地利用此漏洞。由于WordPress插件的广泛使用，该漏洞可能影响大量网站，造成潜在的安全风险。攻击者可以利用此漏洞进行数据泄露、权限提升，甚至完全控制受影响的网站。
该漏洞已于2026年1月7日公开。目前尚未发现公开的PoC，但由于CSRF漏洞的易利用性，预计未来可能会出现。该漏洞的风险等级取决于插件的部署环境和敏感数据处理情况。建议密切关注安全社区的动态，及时采取应对措施。
Websites utilizing the MTCaptcha WordPress plugin, particularly those with shared hosting environments where multiple administrators may have access. Legacy systems running older WordPress installations are also at increased risk, as they may not be regularly updated with the latest security patches.
• wordpress / composer / npm:
grep -r 'MTCaptcha/includes/settings.php' /var/www/html/• wordpress / composer / npm:
wp plugin list | grep MTCaptcha• wordpress / composer / npm:
wp plugin update --all• generic web: Check WordPress plugin directory for version 2.7.3 or higher.
disclosure
漏洞利用状态
EPSS
0.02% (3% 百分位)
CISA SSVC
CVSS 向量
修复此漏洞的首要措施是立即将MTCaptcha WordPress插件升级至2.7.3版本或更高版本。如果无法立即升级，可以考虑使用Web应用防火墙（WAF）来阻止潜在的CSRF攻击。配置WAF以验证所有请求的nonce值，并拒绝无效的请求。此外，建议实施严格的访问控制策略，限制对插件设置的访问权限。在升级后，请验证插件设置是否已正确配置，并检查是否有任何未经授权的修改。
没有已知的补丁可用。请深入审查漏洞的详细信息，并根据您组织的风险承受能力采取缓解措施。最好卸载受影响的软件并寻找替代方案。
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2025-13520是一个跨站请求伪造（CSRF）漏洞，影响MTCaptcha WordPress插件的版本0.0.0–2.7.2。攻击者可以利用此漏洞通过伪造请求修改插件设置。
如果您正在使用MTCaptcha WordPress插件的版本低于2.7.3，那么您可能受到此漏洞的影响。请立即升级到最新版本。
修复此漏洞的最佳方法是升级MTCaptcha WordPress插件至2.7.3版本或更高版本。
目前尚未发现CVE-2025-13520正在被积极利用，但由于CSRF漏洞的易利用性，预计未来可能会出现。
请访问MTCaptcha WordPress插件的官方网站或WordPress插件目录，以获取有关CVE-2025-13520的官方公告。
上传你的依赖文件，立即了解此CVE和其他CVE是否影响你。