向媒体添加自定义字段 <= 2.0.3 - 通过 'delete' 参数的自定义字段删除的跨站请求伪造

攻击者可以利用此 XSRF 漏洞通过构造恶意的 HTTP 请求，在 WordPress 后台未经授权地删除自定义媒体字段。这可能导致网站功能失效，例如，如果自定义字段用于存储重要的媒体元数据，删除这些字段可能会导致媒体文件无法正常显示或使用。更严重的后果是，攻击者可能利用此漏洞作为进一步攻击的跳板，例如，如果自定义字段存储了敏感信息，攻击者可能通过删除这些字段来隐藏其踪迹或破坏数据完整性。由于该漏洞无需身份验证，攻击者可以大规模扫描 WordPress 站点，寻找易受攻击的插件实例。

1. 已保留2026-03-12
2. 发布日期2026-03-19
3. 修改日期2026-04-08
4. EPSS 更新日期2026-03-26

修复此漏洞的首要措施是立即将“Add Custom Fields to Media”插件升级到 2.0.4 或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：实施严格的 Web 应用防火墙 (WAF) 规则，以检测和阻止可疑的 XSRF 请求。限制 WordPress 后台的访问权限，只允许授权用户访问。审查插件的配置，确保没有不必要的自定义字段暴露。监控 WordPress 站点的访问日志，查找可疑的请求模式。升级后，请确认自定义媒体字段已正确保留，并且插件功能正常运行。