CVE-2025-14163: CSRF in Premium Addons for Elementor

此 CSRF 漏洞允许攻击者在受影响的 WordPress 站点上执行未经授权的操作，例如创建恶意 Elementor 模板。攻击者可以通过诱骗具有编辑帖子权限的管理员或用户点击恶意链接来利用此漏洞。成功利用此漏洞可能导致网站内容被篡改、恶意代码注入，甚至可能导致网站被完全控制。攻击者可以利用此漏洞创建包含恶意 JavaScript 代码的模板，从而窃取用户凭据或执行其他恶意活动。由于 Elementor 模板广泛使用，因此此漏洞的潜在影响非常大。

WordPress websites using Premium Addons for Elementor, particularly those with multiple users having 'edit_posts' capabilities, are at risk. Shared hosting environments where users have limited control over plugin updates are also more vulnerable. Sites with legacy configurations or outdated security practices are especially susceptible.

• wordpress / composer / npm:

grep -r 'insert_inner_template' /var/www/html/wp-content/plugins/premium-addons-for-elementor/

• wordpress / composer / npm:

wp plugin list --status=all | grep 'premium-addons-for-elementor'

• wordpress / composer / npm:

wp plugin update premium-addons-for-elementor --all

1. 2025-12-23Disclosure

   disclosure

1. 已保留2025-12-05
2. 发布日期2025-12-23
3. 修改日期2026-04-08
4. EPSS 更新日期2026-03-23

最有效的缓解措施是立即将 Premium Addons for Elementor 插件升级至 4.11.54 或更高版本。如果无法立即升级，可以考虑实施一些临时缓解措施。例如，可以禁用 Premium Addons for Elementor 插件的 'insertinnertemplate' 功能，或者实施严格的访问控制策略，以限制对 Elementor 模板的编辑权限。此外，建议实施 Web 应用防火墙 (WAF) 或反 CSRF 保护，以检测和阻止恶意请求。

活跃安装数

700K热门

插件评分

4.9

需要WordPress版本

6.6+

兼容至

7.0

需要PHP版本

7.4+