CVE-2025-62112: CSRF in Import into Easy Property Listings

CSRF 漏洞允许攻击者冒充已认证用户，执行任何该用户有权执行的操作。在 Import into Easy Property Listings 的上下文中，攻击者可能能够创建、修改或删除房源列表，甚至可能修改插件的配置。攻击者可以通过诱骗用户点击恶意链接或访问恶意网站来利用此漏洞。由于房源列表信息可能包含敏感数据，例如地址和联系方式，因此该漏洞可能导致信息泄露。如果插件与其他系统集成，攻击者还可能利用 CSRF 漏洞进行横向移动。

WordPress websites utilizing the Import into Easy Property Listings plugin, particularly those with user accounts that have administrative privileges or the ability to manage property listings, are at risk. Shared hosting environments where multiple websites share the same server resources may also be indirectly affected if one site is vulnerable and an attacker can leverage cross-site scripting to target users on other sites.

• wordpress / composer / npm:

grep -r 'easy-property-listings-xml-csv-import' /var/www/html/
wp plugin list | grep 'easy-property-listings-xml-csv-import'

• generic web:

curl -I https://your-wordpress-site.com/wp-admin/admin-ajax.php?action=easy_property_listings_import_process

1. 2025-12-30Disclosure

   disclosure

1. 已保留2025-10-07
2. 发布日期2025-12-30
3. 修改日期2026-04-28
4. EPSS 更新日期2026-03-23

最有效的缓解措施是升级到 2.2.2 或更高版本，该版本修复了此漏洞。如果无法立即升级，可以考虑使用 Web 应用防火墙 (WAF) 来过滤恶意请求。WAF 可以配置为阻止包含可疑 CSRF 令牌的请求。此外，可以实施输入验证和输出编码，以减少 CSRF 漏洞的影响。确保所有用户都了解 CSRF 攻击的风险，并避免点击来自未知来源的链接。

活跃安装数

1K小众

插件评分

5.0

需要WordPress版本

3.9+

兼容至

6.9.4

需要PHP版本

7.1+