CVE-2025-13680是一个权限提升漏洞，影响WordPress Tiger主题。该漏洞允许具有订阅者级别或更高权限的认证攻击者，通过修改用户角色，提升其权限至管理员级别。受影响的版本包括0.0.0到101.2.1。目前，官方已发布修复版本，建议及时更新。
该漏洞的潜在影响非常严重。攻击者一旦成功提升权限至管理员，便可完全控制受影响的WordPress网站。他们可以修改网站内容、安装恶意插件、窃取敏感数据，甚至完全破坏网站。由于WordPress被广泛使用，该漏洞可能影响大量网站的安全。攻击者可能利用该漏洞进行数据泄露、网站篡改、甚至利用网站作为攻击跳板，进一步攻击内部网络。这与某些过去发生的WordPress插件漏洞类似，攻击者利用低权限账户获取管理员权限，进而控制整个网站。
该漏洞已于2025年11月27日公开披露。目前尚未观察到大规模的利用活动，但由于该漏洞影响广泛使用的WordPress主题，且易于利用，存在被攻击的风险。该漏洞尚未被添加到CISA KEV目录，但其高危评级表明需要高度关注。建议密切关注安全社区的动态，及时获取最新的威胁情报。
Websites using the Tiger WordPress theme, particularly those with a large number of Subscriber-level users or those with weak password policies, are at increased risk. Shared hosting environments where multiple websites share the same server resources are also vulnerable if one site is running an unpatched version of the theme.
• wordpress / composer / npm:
grep -r "$user->set_role()" /var/www/html/wp-content/themes/tiger/*• wordpress / composer / npm:
wp plugin list --status=active | grep tiger• wordpress / composer / npm:
wp theme list --status=active | grep tigerdisclosure
漏洞利用状态
EPSS
0.06% (18% 百分位)
CISA SSVC
CVSS 向量
最有效的缓解措施是立即升级到修复后的Tiger主题版本。如果无法立即升级，可以考虑以下临时缓解措施：限制用户角色的修改权限，例如禁用$user->set_role()函数的使用。此外，实施严格的访问控制策略，确保只有授权用户才能访问敏感功能。监控WordPress网站的活动日志，及时发现异常行为。使用WordPress安全插件，增强网站的安全性。升级后，请确认通过检查用户角色权限，验证漏洞是否已成功修复。
没有已知的补丁可用。请深入审查漏洞的详细信息，并根据您组织的风险承受能力采取缓解措施。最好卸载受影响的软件并寻找替代方案。
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2025-13680是一个影响WordPress Tiger主题的权限提升漏洞，允许攻击者提升权限至管理员级别。
如果您正在使用WordPress Tiger主题的版本在0.0.0到101.2.1之间，则可能受到影响。请立即检查您的主题版本。
建议立即升级到修复后的Tiger主题版本。如果无法升级，请采取临时缓解措施，如限制用户角色修改权限。
目前尚未观察到大规模的利用活动，但由于漏洞易于利用，存在被攻击的风险。
请访问WordPress官方网站或Tiger主题的官方网站，查找相关的安全公告和更新信息。
上传你的依赖文件，立即了解此CVE和其他CVE是否影响你。