CVE-2025-14164: XSRF in Quran Gateway WordPress Plugin

该XSRF漏洞允许攻击者在管理员不知情的情况下执行恶意操作。攻击者可以通过诱骗管理员点击精心设计的链接，从而修改Quran Gateway插件的配置。这可能导致网站外观发生意外更改，甚至可能被用于注入恶意代码。由于WordPress插件通常具有较高的权限，因此该漏洞的潜在影响范围可能相当广泛，可能影响整个网站的安全性。攻击者可以利用此漏洞篡改网站内容，窃取敏感信息，或进行其他恶意活动。

WordPress websites utilizing the Quran Gateway plugin, particularly those with multiple administrators or shared hosting environments, are at increased risk. Sites with outdated plugin versions and inadequate security practices are especially vulnerable.

• wordpress / composer / npm:

grep -r "quran_gateway_options" /var/www/html/wp-content/plugins/

• generic web:

curl -I https://your-wordpress-site.com/wp-admin/admin-ajax.php?action=quran_gateway_options | grep -i "csrf token"

1. 2025-12-20Disclosure

   disclosure

1. 已保留2025-12-05
2. 发布日期2025-12-20
3. 修改日期2026-04-08
4. EPSS 更新日期2026-03-23

为了缓解CVE-2025-14164漏洞，首要措施是立即更新Quran Gateway插件至最新版本。如果无法立即更新，可以考虑实施一些临时缓解措施。例如，可以启用WordPress的nonce验证功能，或者使用Web应用防火墙(WAF)来过滤恶意请求。此外，建议定期审查插件的配置，并确保管理员账户的安全。在更新插件后，请务必验证插件功能是否正常，以确保更新成功。