CVE-2025-68529: CSRF in WP Email Capture WordPress Plugin

攻击者可以利用此 CSRF 漏洞，伪造用户请求，从而在用户不知情的情况下修改或删除数据，例如订阅者列表、电子邮件模板或插件设置。攻击者还可以利用此漏洞执行其他恶意操作，例如发送垃圾邮件或更改插件配置。如果插件配置不当，攻击者可能能够完全控制受影响的网站。由于 WP Email Capture 插件被广泛使用，因此该漏洞的影响范围可能相当广泛。

Websites using the WP Email Capture plugin, particularly those with user accounts that have administrative privileges or access to sensitive data, are at risk. Shared hosting environments where plugin updates are managed centrally are also at increased risk, as they may be slower to apply security patches.

• wordpress / composer / npm:

grep -r 'wp_email_capture_process_form' /var/www/html/wp-content/plugins/wp-email-capture/

• wordpress / composer / npm:

wp plugin list --status=active | grep wp-email-capture

• wordpress / composer / npm:

wp plugin update wp-email-capture --version=3.12.6

1. 2025-12-24Disclosure

   disclosure

1. 已保留2025-12-19
2. 发布日期2025-12-24
3. 修改日期2026-04-28
4. EPSS 更新日期2026-03-23

最有效的缓解措施是立即将 WP Email Capture 插件升级至 3.12.6 或更高版本。如果无法立即升级，可以考虑使用 Web 应用防火墙 (WAF) 来过滤恶意的 CSRF 请求。此外，确保所有用户都了解 CSRF 攻击的风险，并避免点击可疑链接或访问不信任的网站。实施严格的输入验证和输出编码可以进一步降低风险。