LEAV Last Email Address Validator <= 1.7.1 - 对插件设置更新的跨站请求伪造

此 XSRF 漏洞允许未经身份验证的攻击者通过诱骗网站管理员点击恶意链接来修改 LEAV Last Email Address Validator 插件的设置。攻击者可以修改邮件验证流程，例如更改验证规则或重置用户密码，从而可能导致数据泄露、账户接管或恶意代码注入。由于该插件通常用于处理用户邮箱地址，因此攻击者可能能够获取敏感的用户数据，并将其用于进一步的攻击活动。如果网站管理员在点击恶意链接时处于登录状态，攻击者就可以利用其权限进行操作。

WordPress sites utilizing the LEAV Last Email Address Validator plugin, particularly those with site administrators who are susceptible to social engineering attacks, are at risk. Shared hosting environments where multiple websites share the same server resources could also be affected if one site is compromised.

• wordpress / composer / npm:

grep -r 'display_settings_page' /var/www/html/wp-content/plugins/leav-last-email-address-validator/

• wordpress / composer / npm:

wp plugin list --status=inactive | grep leav-last-email-address-validator

• wordpress / composer / npm:

wp plugin update --all

1. 2026-01-16Disclosure

   disclosure

1. 已保留2025-12-17
2. 发布日期2026-01-16
3. 修改日期2026-04-08
4. EPSS 更新日期2026-03-23

解决此漏洞的首要措施是立即升级 LEAV Last Email Address Validator 插件到最新版本。如果无法立即升级，可以考虑临时禁用插件，以防止攻击者利用该漏洞。此外，建议实施严格的输入验证和输出编码，以减少 XSRF 攻击的风险。使用 WordPress 提供的 nonce 功能，确保所有重要的操作都经过身份验证。监控 WordPress 网站的访问日志，查找可疑的请求模式，并及时采取措施。