平台
wordpress
组件
wp-event-solution
修复版本
4.0.38
CVE-2025-7813是一个服务器端请求伪造（SSRF）漏洞，影响Eventin – Event Calendar, Event Registration, Tickets & Booking (AI Powered) WordPress插件。该漏洞允许未经身份验证的攻击者通过proxy_image函数发起Web请求，从而访问内部服务。受影响的版本包括0.0.0到4.0.37。建议立即升级插件或实施缓解措施以降低风险。
该SSRF漏洞允许攻击者利用Eventin插件作为代理，向内部网络发起请求，绕过防火墙和访问控制机制。攻击者可以利用此漏洞扫描内部网络，获取敏感信息，例如数据库凭据、API密钥或内部服务配置。更严重的后果包括攻击者可以修改内部服务的数据，甚至可能导致远程代码执行，如果内部服务存在其他漏洞。此漏洞的潜在影响范围广泛，可能导致数据泄露、服务中断和系统入侵。
该漏洞已公开披露，且存在潜在的利用风险。目前尚未观察到大规模的利用活动，但由于SSRF漏洞的易利用性，建议尽快采取缓解措施。该漏洞尚未被添加到CISA KEV目录。公开的POC可能存在，建议关注安全社区的动态。
Websites utilizing the Eventin plugin for event management, particularly those with internal services accessible from the web server, are at risk. Shared hosting environments where multiple WordPress sites share the same server are also at increased risk, as a compromise of one site could potentially lead to the compromise of others.
• wordpress / composer / npm:
grep -r 'proxy_image' /var/www/html/wp-content/plugins/eventin/• generic web:
curl -I <wordpress_site_url>/wp-content/plugins/eventin/proxy_image?url=http://localhost:8080 # Check for internal resource accessdisclosure
漏洞利用状态
EPSS
0.15% (36% 百分位)
CISA SSVC
CVSS 向量
为了缓解CVE-2025-7813的影响，首要措施是立即升级Eventin插件至最新版本。如果无法立即升级，可以考虑以下临时缓解措施：在WordPress防火墙（WAF）中配置规则，阻止Eventin插件发起的外部请求。限制Eventin插件的访问权限，使其只能访问必要的内部资源。审查proxy_image函数的代码，并尝试修复漏洞。如果无法修复，可以考虑禁用该函数。升级后，请检查Eventin插件的日志，确认漏洞已成功修复。
将 Eventin 插件更新到可用的最新版本以缓解服务器端请求伪造漏洞。此更新修复了 proxy_image 函数，防止未认证的攻击者从应用程序发起任意网络请求。
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2025-7813是一个服务器端请求伪造（SSRF）漏洞，影响Eventin WordPress插件的版本0.0.0–4.0.37，攻击者可利用该漏洞发起任意Web请求。
如果您正在使用Eventin WordPress插件的版本0.0.0–4.0.37，则可能受到影响。请立即升级插件。
建议立即升级Eventin WordPress插件至最新版本。如果无法升级，请实施WAF规则或限制插件访问权限。
目前尚未观察到大规模的利用活动，但由于SSRF漏洞的易利用性，建议尽快采取缓解措施。
请访问Eventin插件的官方网站或WordPress插件目录，查找有关CVE-2025-7813的公告。
上传你的依赖文件，立即了解此CVE和其他CVE是否影响你。