CVE-2025-62107: CSRF in Feather Login Page WordPress Plugin

CSRF 漏洞允许攻击者冒充已认证用户，执行其操作。在 Feather Login Page 的上下文中，攻击者可能利用此漏洞更改用户密码、修改登录设置，甚至可能在用户不知情的情况下安装恶意插件。由于 WordPress 插件通常具有广泛的权限，因此 CSRF 漏洞可能导致严重的系统安全风险。攻击者可以通过诱骗用户点击恶意链接或访问恶意网站来触发此漏洞，从而利用其权限执行恶意操作。这种攻击模式通常需要用户在攻击发生时已登录 WordPress 站点。

Websites using the PluginOps Feather Login Page plugin, particularly those with shared hosting environments or those that haven't implemented robust security practices, are at risk. Administrators who frequently use the plugin and are susceptible to phishing attacks are also a high-risk group.

• wordpress / plugin:

wp plugin list --status=inactive | grep feather-login-page

• wordpress / plugin: Check plugin version in WordPress admin dashboard. • wordpress / plugin: Review WordPress access logs for suspicious requests originating from external sources targeting the plugin’s admin endpoints. • wordpress / plugin: Examine the plugin’s codebase for any missing or inadequate CSRF tokens.

1. 2025-12-22Disclosure

   disclosure

1. 已保留2025-10-07
2. 发布日期2025-12-22
3. 修改日期2026-04-28
4. EPSS 更新日期2026-03-23

为了缓解 CVE-2025-62107 的影响，建议立即更新 Feather Login Page 插件到最新版本。如果无法立即更新，可以考虑实施一些临时缓解措施，例如使用 Web 应用防火墙 (WAF) 来过滤恶意请求，或者在关键操作中添加 CSRF 令牌。此外，建议用户启用 WordPress 的双因素身份验证 (2FA)，以增加账户的安全性。在更新插件后，请检查 WordPress 站点的配置，确保没有受到攻击者的影响。