CVE-2025-14904: CSRF in Newsletter Email Subscribe WordPress Plugin

攻击者可以利用此 CSRF 漏洞通过诱骗网站管理员点击恶意链接来更新 Newsletter Email Subscribe 插件的设置。这可能导致攻击者修改订阅表单、更改邮件模板或执行其他未经授权的操作。由于 WordPress 插件通常具有广泛的权限，因此攻击者可能能够利用此漏洞进一步访问网站的其他部分，甚至可能执行代码。这种攻击模式类似于其他已知的 CSRF 漏洞，可能导致数据泄露、网站劫持或恶意软件传播。

WordPress websites utilizing the Newsletter Email Subscribe plugin, particularly those with site administrators who are susceptible to social engineering attacks, are at risk. Shared hosting environments where plugin updates are managed centrally are also at increased risk, as attackers could potentially compromise multiple websites simultaneously.

• wordpress / composer / npm:

grep -r 'nels_settings_page' /var/www/html/wp-content/plugins/newsletter-email-subscribe/

• wordpress / composer / npm:

wp plugin list --status=all | grep 'Newsletter Email Subscribe'

• wordpress / composer / npm:

wp plugin update --all

1. 2026-01-07Disclosure

   disclosure

1. 已保留2025-12-18
2. 发布日期2026-01-07
3. 修改日期2026-04-08
4. EPSS 更新日期2026-03-23

最有效的缓解措施是立即将 Newsletter Email Subscribe 插件升级至 2.5.4 或更高版本。如果无法立即升级，可以考虑使用 Web 应用防火墙 (WAF) 来过滤可疑的请求，并实施严格的输入验证和输出编码。此外，建议启用 WordPress 的双因素身份验证 (2FA)，以增加攻击者成功利用 CSRF 漏洞的难度。在升级后，请检查插件的配置，确保没有被恶意修改。