CVE-2025-62089: CSRF in Mergado Pack WordPress Plugin

跨站请求伪造 (CSRF) 漏洞允许攻击者冒充已认证用户执行操作。在 Mergado Pack 的上下文中，攻击者可能利用此漏洞修改产品数据、更改营销设置或执行其他管理任务，而无需用户许可。攻击者可以通过诱骗用户点击恶意链接或访问恶意网站来触发此漏洞。如果攻击者成功利用此漏洞，可能会对网站的完整性和数据的安全性造成严重影响。由于 Mergado Pack 通常用于管理电子商务产品的营销活动，因此该漏洞可能导致敏感信息泄露或营销活动的篡改。

WordPress sites utilizing the Mergado Pack plugin, particularly those running versions 0.0.0 through 4.2.1, are at risk. Sites with limited security controls or those that allow user-generated content are especially vulnerable, as attackers can more easily craft malicious CSRF requests.

• wordpress / composer / npm:

grep -r 'mergado-marketing-pack' /var/www/html/wp-content/plugins/
wp plugin list | grep mergado-marketing-pack

• generic web:

curl -I https://your-wordpress-site.com/wp-content/plugins/mergado-marketing-pack/ | grep -i 'mergado-marketing-pack'

1. 2025-12-31Disclosure

   disclosure

1. 已保留2025-10-07
2. 发布日期2025-12-31
3. 修改日期2026-04-28
4. EPSS 更新日期2026-03-23

为了缓解 CVE-2025-62089 漏洞，首先应尽快升级 Mergado Pack WordPress 插件到修复版本。如果无法立即升级，可以考虑实施一些临时缓解措施，例如使用 Web 应用防火墙 (WAF) 过滤恶意请求，或在关键操作中添加 CSRF 令牌。此外，建议审查 Mergado Pack 的配置，确保其遵循安全最佳实践。升级后，请验证插件是否已成功更新，并检查是否存在任何异常行为。