CVE-2025-62120: CSRF in OpenHook WordPress Plugin

跨站请求伪造(CSRF)攻击利用受害者与Web应用程序的信任关系。攻击者诱使用户点击恶意链接或访问恶意网站，从而触发在用户不知情的情况下执行的请求。在OpenHook插件中，攻击者可以利用此漏洞修改配置、执行管理操作或执行其他未经授权的操作，从而可能导致数据泄露、恶意代码注入或网站劫持。攻击者可以利用此漏洞窃取敏感信息，例如用户凭据或配置数据，并将其用于进一步的攻击。

Websites using the OpenHook WordPress plugin, particularly those with users who have administrative or editor roles, are at risk. Shared hosting environments where plugin updates are managed by the hosting provider may also be vulnerable if updates are not applied promptly.

• wordpress / composer / npm:

grep -r 'openhook_save_options' /var/www/html/wp-content/plugins/

• generic web:

curl -I https://your-wordpress-site.com/wp-admin/admin-ajax.php?action=openhook_save_options | grep -i 'referer:'

1. 2025-12-31Disclosure

   disclosure

1. 已保留2025-10-07
2. 发布日期2025-12-31
3. 修改日期2026-04-28
4. EPSS 更新日期2026-03-23

为了缓解CVE-2025-62120漏洞，建议立即升级OpenHook插件到最新版本。如果无法立即升级，可以考虑实施一些临时缓解措施，例如使用内容安全策略(CSP)来限制允许加载的资源，或者使用严格的输入验证和输出编码来防止CSRF攻击。此外，实施双因素身份验证(2FA)可以增加攻击者利用此漏洞的难度。升级后，请检查OpenHook插件的配置，确保没有不必要的权限或功能启用。