Clearfy <= 2.4.0 - 跨站请求伪造 (Cross-Site Request Forgery) 可篡改通知更新

攻击者可以利用此 CSRF 漏洞，通过精心设计的恶意链接或表单，诱骗网站管理员执行未经授权的操作。例如，攻击者可以创建一个链接，当管理员点击时，该链接会禁用 Clearfy Cache 插件的更新通知。这可能导致插件长期运行在过时版本上，从而暴露于其他安全风险。虽然此漏洞本身不会导致数据泄露或系统入侵，但它可能为后续攻击创造条件，例如利用插件的其他漏洞。攻击者可能还会利用此漏洞进行钓鱼攻击，伪装成正常的管理操作，从而欺骗管理员执行恶意操作。

WordPress websites using the Clearfy Cache plugin, particularly those running versions 0.0.0 through 2.4.0, are at risk. Shared hosting environments where multiple websites share the same server are also at increased risk, as a compromised website could potentially be used to target other sites on the same server.

• wordpress / composer / npm:

grep -r 'wbcr_upm_change_flag' /var/www/html/wp-content/plugins/clearfy-cache/

• wordpress / composer / npm:

wp plugin list --status=all | grep clearfy-cache

• wordpress / composer / npm:

curl -I https://your-wordpress-site.com/wp-content/plugins/clearfy-cache/readme.txt | grep Version

1. 2026-01-09Disclosure

   disclosure

1. 已保留2025-11-26
2. 发布日期2026-01-09
3. 修改日期2026-04-08
4. EPSS 更新日期2026-03-23

最有效的缓解措施是立即将 Clearfy Cache WordPress 插件升级至 2.4.1 或更高版本。如果升级导致网站出现问题，可以考虑回滚到之前的版本，但请注意，这会使网站再次暴露于该漏洞。作为临时措施，可以配置 WordPress 的 Web 应用防火墙 (WAF) 或代理服务器，以阻止可疑的 CSRF 请求。此外，可以审查 Clearfy Cache 插件的配置，确保其安全性设置已正确配置。在升级后，请务必验证插件是否正常工作，并且更新通知功能已启用。

活跃安装数

50K已知

插件评分

4.7

需要WordPress版本

6.0+

兼容至

6.9.4

需要PHP版本

7.4+