WordPress Wordpress Movies Bulk Importer 插件 <= 1.0 - 跨站请求伪造 (CSRF) 漏洞

CSRF 漏洞允许攻击者冒充合法用户，执行任何该用户有权执行的操作。在 Movies Bulk Importer 的上下文中，攻击者可能利用此漏洞创建、修改或删除电影数据，或者更改其他配置设置。攻击者可以通过诱骗用户点击恶意链接或访问恶意网站来利用此漏洞。由于 Movies Bulk Importer 通常用于管理电影信息，因此攻击者可能能够访问敏感数据或破坏网站的功能。该漏洞的潜在影响包括数据泄露、网站篡改和用户账户被盗。

Websites utilizing the AA-Team Wordpress Movies Bulk Importer plugin, particularly those with a large user base or that handle sensitive movie data, are at risk. Shared hosting environments where multiple websites share the same server resources are also at increased risk, as a compromise of one site could potentially impact others.

• wordpress / composer / npm:

grep -r 'AA-Team Movies Bulk Importer' /var/www/html/
wp plugin list | grep 'Movies Bulk Importer'

• generic web:

curl -I https://your-wordpress-site.com/wp-admin/admin-ajax.php?action=movies_bulk_importer_action&param=malicious_param | grep -i 'csrf token'

1. 2026-01-22Disclosure

   disclosure

1. 已保留2026-01-07
2. 发布日期2026-01-22
3. 修改日期2026-04-28
4. EPSS 更新日期2026-03-23

由于没有提供修复版本，缓解措施至关重要。首先，实施严格的输入验证和输出编码，以防止恶意数据注入。其次，在所有关键操作上实施 CSRF 令牌验证，确保只有授权用户才能执行这些操作。此外，考虑使用内容安全策略 (CSP) 来限制网站可以加载的资源，从而降低 CSRF 攻击的风险。最后，定期审查 Movies Bulk Importer 的配置，确保其安全设置正确。