WordPress AR For WordPress 插件 <= 8.34 - 跨站请求伪造 (CSRF) 漏洞

该 CSRF 漏洞的潜在影响非常严重。攻击者可以利用该漏洞在受影响的 WordPress 网站上上传 Web Shell。Web Shell 是一种恶意脚本，允许攻击者远程访问和控制服务器。一旦攻击者成功上传 Web Shell，他们就可以执行任意代码、窃取敏感数据、修改网站内容，甚至完全控制服务器。攻击者可能利用此漏洞进行数据泄露、服务中断、甚至利用受感染的服务器发起进一步的攻击。

Websites utilizing AR For WordPress, particularly those with limited security controls or shared hosting environments, are at significant risk. Sites with older, unpatched versions of the plugin are especially vulnerable. Administrators who haven't implemented robust CSRF protection measures are also at increased risk.

• wordpress / composer / npm:

wp plugin list | grep 'AR For WordPress'

• wordpress / composer / npm:

wp plugin update --all

• wordpress / composer / npm:

wp plugin status | grep 'AR For WordPress'

• wordpress / composer / npm:

wp plugin path ar-for-wordpress

1. 2025-09-26Disclosure

   disclosure

1. 已保留2025-09-25
2. 发布日期2025-09-26
3. 修改日期2026-04-28
4. EPSS 更新日期2026-03-23

修复此漏洞的首要措施是立即将 AR For WordPress 插件升级至 7.98.1 或更高版本。如果无法立即升级，可以考虑临时禁用 AR For WordPress 插件，以降低风险。此外，实施严格的输入验证和输出编码措施，可以有效防止 CSRF 攻击。使用 Web 应用防火墙 (WAF) 或反向代理，可以检测和阻止恶意请求。定期审查 WordPress 网站的权限设置，确保用户只拥有必要的权限。