CVE-2025-14845: CSRF in NS IE Compatibility Fixer

攻击者可以利用此CSRF漏洞，在管理员不知情的情况下修改NS IE Compatibility Fixer插件的配置。这可能导致网站出现意外行为、安全设置被绕过，甚至可能被用于进一步攻击网站。攻击者可以通过诱骗管理员点击恶意链接来触发伪造请求，从而实现配置修改。由于该插件影响IE兼容性，攻击者可能利用此漏洞影响使用IE浏览器的用户，造成更广泛的安全风险。

WordPress websites utilizing the NS IE Compatibility Fixer plugin, particularly those with shared hosting environments or where administrative privileges are not strictly controlled, are at increased risk. Sites with legacy WordPress configurations or those lacking robust security practices are also more vulnerable.

• wordpress / composer / npm:

grep -r 'settings_update' /var/www/html/wp-content/plugins/ns-ie-compatibility-fixer/

• wordpress / composer / npm:

wp plugin list --status=inactive | grep 'ns-ie-compatibility-fixer'

• generic web: Check for unusual plugin settings modifications in the WordPress admin panel. • generic web: Monitor WordPress access logs for suspicious requests targeting plugin settings endpoints.

1. 2026-01-07Disclosure

   disclosure

1. 已保留2025-12-17
2. 发布日期2026-01-07
3. 修改日期2026-04-08
4. EPSS 更新日期2026-03-23

为了缓解此漏洞，建议立即更新NS IE Compatibility Fixer插件至修复版本。如果无法立即更新，可以考虑以下临时措施：限制管理员权限，避免管理员访问可能触发CSRF攻击的页面；实施严格的输入验证和输出编码，防止恶意数据注入；使用Web应用防火墙(WAF)来检测和阻止CSRF攻击。此外，可以考虑在插件设置页面添加Nonce验证，以增强安全性。更新后，请确认插件配置已恢复正常，并检查是否有任何异常活动。