平台
wordpress
组件
newsletter
修复版本
9.1.1
CVE-2026-1051 描述了 WordPress Newsletter 插件中的跨站请求伪造 (CSRF) 漏洞。该漏洞允许未经身份验证的攻击者通过伪造请求，在登录用户不知情的情况下取消订阅邮件。该漏洞影响 Newsletter 插件的 0.0.0 到 9.1.0 版本。已发布 9.1.1 版本修复此问题。
攻击者可以利用此 CSRF 漏洞，通过精心设计的恶意链接或表单，诱骗已登录的 WordPress 用户执行未经授权的操作，例如取消订阅邮件列表。攻击者无需身份验证即可执行此操作，只需诱骗用户访问包含恶意代码的页面即可。这可能导致用户失去重要的邮件通知，影响业务沟通和用户体验。如果邮件列表包含敏感信息，攻击者还可以通过取消订阅来阻止用户接收相关信息，从而造成更大的损失。该漏洞的潜在影响包括用户数据泄露、服务中断和声誉损害。
该漏洞已公开披露，且存在潜在的利用风险。目前尚未观察到大规模的利用活动，但由于 CSRF 漏洞相对容易利用，攻击者可能会积极寻找利用机会。建议密切关注安全社区的动态，及时了解最新的威胁情报。该漏洞未被添加到 CISA KEV 目录。
WordPress sites utilizing the Newsletter plugin are at risk. Specifically, sites with a large subscriber base or those relying heavily on email marketing are more vulnerable. Shared hosting environments where plugin updates are managed by the hosting provider may also be at increased risk if updates are not applied promptly.
• wordpress / composer / npm:
grep -r 'hook_newsletter_action()' /var/www/html/wp-content/plugins/newsletter/• wordpress / composer / npm:
wp plugin list | grep newsletter• wordpress / composer / npm:
wp plugin update newsletter --all• generic web: Check WordPress plugin directory for reports of CVE-2026-1051 exploitation.
disclosure
漏洞利用状态
EPSS
0.01% (3% 百分位)
CISA SSVC
CVSS 向量
最有效的缓解措施是立即将 Newsletter 插件升级至 9.1.1 或更高版本。如果无法立即升级，可以考虑使用 WordPress 插件防火墙 (WAF) 来阻止 CSRF 攻击。配置 WAF 以验证所有请求的 nonce 值，并拒绝无效的请求。此外，建议审查 WordPress 插件的权限设置，确保用户只拥有必要的权限。定期扫描 WordPress 网站，查找潜在的安全漏洞，并及时修复。
更新到 9.1.1 版本，或更新的修复版本
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2026-1051 是 WordPress Newsletter 插件中发现的跨站请求伪造 (CSRF) 漏洞，影响版本 0.0.0–9.1.0。攻击者可以利用此漏洞在用户不知情的情况下取消订阅邮件。
如果您正在使用 Newsletter 插件的版本低于 9.1.1，则您可能受到此漏洞的影响。请立即检查您的插件版本并进行升级。
修复此漏洞的最佳方法是升级 Newsletter 插件至 9.1.1 或更高版本。
目前尚未观察到大规模的利用活动，但由于 CSRF 漏洞相对容易利用，攻击者可能会积极寻找利用机会。
请访问 Newsletter 插件的官方网站或 WordPress 插件目录，查找有关 CVE-2026-1051 的安全公告。
上传你的依赖文件，立即了解此CVE和其他CVE是否影响你。