CVE-2025-62148: CSRF in Robots.txt rewrite

CSRF 漏洞允许攻击者冒充受害者用户，执行其在 Robots.txt rewrite 中可以执行的任何操作。攻击者可以通过诱骗受害者点击恶意链接或访问恶意网站来触发此漏洞。攻击者可以利用此漏洞修改 robots.txt 文件，阻止搜索引擎抓取网站的特定部分，从而影响网站的 SEO 排名。此外，如果 Robots.txt rewrite 组件与其他敏感功能集成，攻击者可能能够利用此漏洞访问或修改敏感数据。

Websites using the Robots.txt rewrite plugin, particularly those relying on search engine optimization (SEO) and those with sensitive data that could be exposed through misconfigured robots.txt directives, are at risk. Shared WordPress hosting environments are also at increased risk, as vulnerabilities in plugins can affect multiple websites hosted on the same server.

• wordpress / composer / npm:

grep -r 'robots.txt' /var/www/html/wp-content/plugins/robots-txt-rewrite/
wp plugin list | grep robots-txt-rewrite

• generic web:

curl -I https://example.com/robots.txt | grep -i 'allow:'

1. 2025-12-31Disclosure

   disclosure

1. 已保留2025-10-07
2. 发布日期2025-12-31
3. 修改日期2026-04-28
4. EPSS 更新日期2026-03-23

为了减轻 CVE-2025-62148 的影响，建议用户立即升级至 Robots.txt rewrite 1.6.2 版本。如果无法立即升级，可以考虑实施以下缓解措施：使用严格的输入验证和输出编码技术，以防止恶意输入被执行。实施 CSRF 令牌，以验证请求是否来自受信任的来源。配置 Web 应用防火墙 (WAF) 以检测和阻止 CSRF 攻击。在 robots.txt 文件中添加适当的规则，以限制对敏感资源的访问。