CVE-2025-14999: CSRF in Latest Tabs WordPress Plugin

攻击者可以利用此 CSRF 漏洞，通过诱骗网站管理员点击恶意链接来修改 Latest Tabs 插件的设置。这可能导致插件行为发生意外更改，例如修改显示的内容、更改排序规则或暴露敏感信息。攻击者还可以利用此漏洞来执行其他恶意操作，例如植入恶意代码或窃取用户数据。由于 WordPress 插件通常具有广泛的权限，因此此漏洞的潜在影响范围可能很大，可能影响整个网站的安全。

WordPress sites utilizing the Latest Tabs plugin, particularly those with administrative accounts that are frequently targeted by phishing or social engineering attacks, are at risk. Shared hosting environments where multiple WordPress installations share the same server resources could also be affected if one site is compromised and used to launch attacks against others.

• wordpress / composer / npm:

grep -r 'admin-page.php' /var/www/html/wp-content/plugins/latest-tabs/

• wordpress / composer / npm:

wp plugin list --status=all | grep 'latest-tabs'

• wordpress / composer / npm:

wp plugin update latest-tabs --all

1. 2026-01-07Disclosure

   disclosure

1. 已保留2025-12-20
2. 发布日期2026-01-07
3. 修改日期2026-04-08
4. EPSS 更新日期2026-03-23

最有效的缓解措施是立即将 Latest Tabs 插件升级到 1.6 版本或更高版本。如果无法立即升级，可以考虑实施一些临时缓解措施。例如，可以配置 WordPress 网站的 Web 应用防火墙 (WAF) 以阻止可疑的 CSRF 请求。此外，还可以审查插件的配置，确保没有不必要的权限或敏感信息暴露。在升级后，请验证插件设置是否已正确恢复，并检查是否有任何未经授权的更改。