WordPress Rencontre 插件 <= 3.13.7 - 跨站请求伪造 (CSRF) 漏洞

攻击者可以利用此CSRF漏洞触发存储型XSS攻击，通过伪造用户请求，在受害者不知情的情况下执行恶意脚本。攻击者可以窃取用户会话信息，冒充用户执行操作，甚至完全控制受害者账户。这种攻击可能导致敏感数据泄露、恶意软件传播以及网站被篡改等严重后果。由于该漏洞允许存储型XSS，攻击者可以持久化恶意脚本，影响所有访问受影响页面的用户。

WordPress websites utilizing the Rencontre plugin, particularly those with user roles that have administrative privileges, are at risk. Shared hosting environments where plugin updates are managed centrally are also at increased risk, as they may be slower to apply security patches.

• wordpress / composer / npm:

grep -r 'rencontre/plugin.php' /var/www/html/
wp plugin list | grep rencontre

• generic web:

curl -I https://your-wordpress-site.com/wp-content/plugins/rencontre/plugin.php | grep -i '3.13.7'

1. 2025-12-09Disclosure

   disclosure

1. 已保留2025-12-09
2. 发布日期2025-12-09
3. 修改日期2026-04-28
4. EPSS 更新日期2026-03-23

最有效的缓解措施是立即将Rencontre WordPress插件升级至3.13.8版本或更高版本。如果升级不可行，可以尝试使用Web应用防火墙(WAF)来过滤恶意请求，并实施严格的输入验证和输出编码策略。此外，建议禁用不必要的插件功能，并定期审查用户权限，以减少攻击面。升级后，请确认漏洞已修复，可以通过检查Rencontre插件的安装版本以及相关日志文件来验证。