WordPress Evergreen Post Tweeter 插件 <= 1.8.9 - 跨站请求伪造 (CSRF) 导致 存储型 XSS 漏洞

此 XSS 漏洞允许攻击者通过 CSRF 攻击在受害者浏览器中执行恶意 JavaScript 代码。攻击者可以诱使用户点击精心制作的链接或访问恶意网站，从而触发漏洞。一旦恶意脚本执行，攻击者可以窃取用户的 Cookie、会话令牌和其他敏感数据。此外，攻击者还可以冒充用户发布内容、更改设置或执行其他未经授权的操作。由于该漏洞是存储型 XSS，恶意脚本将持久存在于服务器上，可能影响所有访问受感染页面的用户。

Websites using the Evergreen Post Tweeter plugin, particularly those with user accounts or sensitive data, are at risk. Shared hosting environments where multiple websites share the same server resources are also at increased risk, as a compromise of one website could potentially lead to the compromise of others.

• wordpress / composer / npm:

grep -r "evergreen-post-tweeter" /var/www/html/wp-content/plugins/
wp plugin list | grep evergreen-post-tweeter

• generic web:

curl -I https://example.com/ | grep -i 'x-frame-options'

1. 2025-12-24Disclosure

   disclosure

1. 已保留2025-12-09
2. 发布日期2025-12-24
3. 修改日期2026-04-28
4. EPSS 更新日期2026-03-23

为了缓解 CVE-2025-67622 的风险，首要措施是立即升级 Evergreen Post Tweeter 到最新版本。如果无法立即升级，可以考虑使用 Web 应用防火墙 (WAF) 来过滤恶意请求，并实施严格的输入验证和输出编码策略。此外，建议启用 WordPress 的内容安全策略 (CSP) 功能，以限制浏览器可以加载的资源，从而降低 XSS 攻击的风险。在升级后，请检查 WordPress 日志和 Evergreen Post Tweeter 的配置，以确保没有残留的恶意代码或配置错误。