CVE-2025-62880: CSRF in Kunal Custom 404 Pro

CSRF 攻击利用用户已通过身份验证的会话，诱使用户在不知情的情况下执行意外的操作。在 Kunal Custom 404 Pro 中，攻击者可以利用此漏洞修改插件配置，例如更改自定义 404 页面的外观和行为。更严重的后果包括攻击者可能利用该漏洞访问其他与 WordPress 站点相关的敏感信息或执行其他恶意操作，具体取决于插件的权限和功能。如果攻击者能够控制插件的配置，他们可能能够影响站点的整体安全性。

WordPress websites utilizing the Custom 404 Pro plugin, particularly those running older versions (0.0.0–3.12.0), are at risk. Shared hosting environments where plugin updates are managed centrally are also at increased risk, as they may be slower to apply security patches. Sites with administrator accounts that are frequently used or have weak passwords are particularly vulnerable.

• wordpress / composer / npm:

grep -r 'Custom 404 Pro' /var/www/html/wp-content/plugins/
wp plugin list | grep 'Custom 404 Pro'

• generic web:

curl -I https://your-wordpress-site.com/wp-admin/admin-ajax.php?action=custom_404_pro_save_settings&setting_name=some_setting&setting_value=some_value | grep HTTP/1.1

1. 2025-12-22Disclosure

   disclosure

1. 已保留2025-10-24
2. 发布日期2025-12-22
3. 修改日期2026-04-28
4. EPSS 更新日期2026-03-23

最有效的缓解措施是立即将 Kunal Custom 404 Pro 升级至 3.12.1 或更高版本。如果升级会导致兼容性问题，可以考虑暂时禁用插件。作为临时措施，可以尝试使用 WordPress 插件防火墙 (WAF) 来阻止 CSRF 攻击。配置 WAF 以验证所有请求的 Referer 标头，并拒绝来自未知或不可信来源的请求。此外，实施严格的输入验证和输出编码，以防止其他类型的跨站脚本攻击。