CVE-2025-49353: CSRF in Noindex by Path WordPress Plugin

该 CSRF 漏洞允许攻击者在受影响的 WordPress 网站上执行存储型 XSS 攻击。攻击者可以通过伪造用户请求，将恶意 JavaScript 代码注入到网站的页面中。一旦注入，这些脚本将在其他访问该页面的用户浏览器中执行，从而可能导致会话劫持、用户数据泄露、恶意软件感染或其他恶意行为。由于该漏洞与存储型 XSS 结合，攻击者可以持久化恶意脚本，影响所有访问受影响页面的用户，造成广泛的危害。攻击者可能利用此漏洞窃取敏感信息，例如用户凭据、个人数据或财务信息。此外，攻击者还可以利用此漏洞将用户重定向到恶意网站，或在网站上显示虚假信息。

Websites using the Noindex by Path WordPress plugin, particularly those with user accounts or sensitive data, are at risk. Shared hosting environments where plugin updates are managed centrally are also at increased risk, as they may be slower to apply security patches.

• wordpress / composer / npm:

grep -r "noindex_by_path" /var/www/html/wp-content/plugins/

• wordpress / composer / npm:

wp plugin list | grep noindex-by-path

• wordpress / composer / npm:

wp plugin update noindex-by-path

1. 2025-12-31Disclosure

   disclosure

1. 已保留2025-06-04
2. 发布日期2025-12-31
3. 修改日期2026-04-28
4. EPSS 更新日期2026-03-23

修复 CVE-2025-49353 的主要方法是升级 Noindex by Path WordPress 插件到最新版本。如果无法立即升级，可以考虑以下缓解措施：实施严格的 CSRF 保护机制，例如使用验证令牌或 SameSite 属性。审查 Noindex by Path 插件的配置，确保没有不必要的权限或功能启用。监控 WordPress 网站的访问日志，查找可疑的请求或活动。使用 Web 应用防火墙 (WAF) 来过滤恶意请求，并阻止潜在的 CSRF 攻击。在升级插件后，请验证修复是否成功，例如通过尝试执行一个已知的攻击向量，确认脚本是否能够正常执行。