Moderate Selected Posts <= 1.4 - 跨站请求伪造可更新插件设置

攻击者可以利用此CSRF漏洞，诱使用户（尤其是管理员）点击恶意链接，从而在用户不知情的情况下修改Moderate Selected Posts插件的配置。这可能导致网站内容显示异常、权限被篡改，甚至可能被用于进一步攻击网站。由于WordPress插件广泛使用，该漏洞的影响范围可能相当广泛，尤其是在没有适当安全措施的网站上。攻击者可以利用此漏洞进行钓鱼攻击，诱骗管理员执行恶意操作。

WordPress sites utilizing the Moderate Selected Posts plugin, particularly those with administrative accounts that are frequently targeted by phishing or social engineering attacks, are at increased risk. Shared hosting environments where multiple WordPress sites share the same server resources are also more vulnerable, as a compromise on one site could potentially lead to attacks on others.

• wordpress / composer / npm:

grep -r 'msp_admin_page()' /var/www/html/wp-content/plugins/moderate-selected-posts/

• wordpress / composer / npm:

wp plugin list --status=all | grep 'Moderate Selected Posts'

• wordpress / composer / npm:

wp plugin update moderate-selected-posts

1. 2026-01-24Disclosure

   disclosure

1. 已保留2025-12-18
2. 发布日期2026-01-24
3. 修改日期2026-04-08
4. EPSS 更新日期2026-03-23

虽然升级到最新版本是解决此问题的最佳方法，但如果无法立即升级，可以考虑以下缓解措施。首先，实施严格的输入验证和输出编码，以防止恶意数据注入。其次，使用Web应用防火墙(WAF)来检测和阻止CSRF攻击。第三，在所有关键操作中使用nonce验证，以确保请求的合法性。最后，定期审查插件配置，确保没有不必要的权限被授予。在升级插件后，请确认nonce验证已正确实施，并测试关键功能以确保其正常运行。