CVE-2025-68567: CSRF in My auctions allegro

该 CSRF 漏洞允许攻击者冒充合法用户，执行各种恶意操作。例如，攻击者可以修改用户配置、删除数据、甚至可能执行其他具有破坏性的操作。攻击者可以通过诱骗用户点击恶意链接或访问恶意网站来触发此漏洞。由于 My auctions allegro 插件通常用于管理拍卖和商品信息，因此攻击者可能能够窃取敏感数据，例如用户账户信息、商品价格和交易记录。如果插件与外部系统集成，攻击者还可能利用此漏洞进行横向移动，攻击其他系统。

WordPress site owners using the My auctions allegro plugin, particularly those running older versions (0.0.0–3.6.33). Shared hosting environments where plugin updates are managed centrally are also at increased risk, as they may not be promptly updated.

• wordpress / composer / npm:

grep -r 'my-auctions-allegro-free-edition' /var/www/html/
wp plugin list | grep 'My auctions allegro'

• generic web:

curl -I https://example.com/my-auctions-allegro/ | grep -i 'csrf-token'

1. 2025-12-24Disclosure

   disclosure

1. 已保留2025-12-19
2. 发布日期2025-12-24
3. 修改日期2026-04-28
4. EPSS 更新日期2026-03-23

最有效的缓解措施是立即将 My auctions allegro 插件升级至 3.6.34 或更高版本。如果无法立即升级，可以考虑实施一些临时缓解措施。例如，可以启用 WordPress 的 CSRF 保护功能，或者使用 Web 应用防火墙 (WAF) 来过滤恶意请求。此外，建议审查插件的配置，确保没有启用不必要的权限。升级后，请验证插件是否正常工作，并检查是否有任何异常活动。