CVE-2025-62123: CSRF in WP Gmail SMTP Plugin

攻击者可以利用此 CSRF 漏洞，通过诱骗受害者访问恶意链接或提交恶意表单，在受害者不知情的情况下执行操作。例如，攻击者可能能够更改 SMTP 设置，导致电子邮件发送失败或被重定向到恶意服务器。更严重的后果包括攻击者可能利用该漏洞访问敏感数据，例如电子邮件内容或联系人信息，并将其用于进一步的攻击，例如钓鱼攻击或身份盗窃。由于 WordPress 插件的广泛使用，该漏洞的潜在影响范围广泛。

WordPress websites utilizing the WP Gmail SMTP plugin, particularly those with shared hosting environments or less stringent user permission controls, are at risk. Sites with legacy configurations or those that haven't recently updated their plugins are also more vulnerable.

• wordpress / composer / npm:

grep -r 'wp_gmail_smtp' /var/www/html/wp-content/plugins/
wp-cli plugin list

• generic web:

curl -I https://your-wordpress-site.com/wp-content/plugins/wp-gmail-smtp/ | grep Server

1. 2025-12-31Disclosure

   disclosure

1. 已保留2025-10-07
2. 发布日期2025-12-31
3. 修改日期2026-04-28
4. EPSS 更新日期2026-03-23

为了缓解 CVE-2025-62123 漏洞，最有效的措施是立即将 WP Gmail SMTP 插件升级到最新版本。如果升级不可行，可以考虑实施一些临时缓解措施，例如使用 Web 应用防火墙 (WAF) 来过滤恶意请求，或者在关键操作中添加额外的身份验证步骤。此外，建议实施严格的输入验证和输出编码，以防止 CSRF 攻击。升级后，请验证 SMTP 设置是否正确，并检查是否有任何未经授权的更改。