CVE-2025-13521: CSRF in WP Status Notifier WordPress Plugin

攻击者可以利用此 CSRF 漏洞，诱导管理员点击恶意链接，从而在不知情的情况下修改 WP Status Notifier 插件的设置。这可能导致插件行为发生改变，例如，攻击者可以修改通知设置，将通知发送到攻击者控制的服务器，或者修改其他配置选项以执行恶意操作。如果攻击者能够成功修改插件设置，可能会导致敏感信息泄露、站点被恶意劫持或进一步的攻击。由于 WordPress 插件广泛使用，该漏洞的影响范围可能相当广泛。

WordPress websites utilizing the WP Status Notifier plugin, particularly those with multiple administrators or shared hosting environments, are at increased risk. Sites where administrators frequently click on links from untrusted sources are also more vulnerable. Legacy WordPress installations with outdated security practices are especially susceptible.

• wordpress / composer / npm:

grep -r 'wp_status_notifier_settings_update' /var/www/html/wp-content/plugins/

• wordpress / composer / npm:

wp plugin list --status=active | grep 'wp-status-notifier'

• wordpress / composer / npm:

wp plugin auto-update --all

1. 2026-01-07Disclosure

   disclosure

1. 已保留2025-11-21
2. 发布日期2026-01-07
3. 修改日期2026-04-08
4. EPSS 更新日期2026-03-23

为了缓解 CVE-2025-13521 漏洞，首要措施是立即更新 WP Status Notifier 插件到最新版本。如果无法立即更新，可以考虑暂时禁用插件，或者实施更严格的访问控制策略，例如，要求所有对插件设置的修改都需要进行双因素身份验证。此外，可以使用 WordPress 安全插件来检测和阻止 CSRF 攻击。建议定期审查 WordPress 插件的安全性，并及时更新所有插件以修复已知的漏洞。