DX Unanswered Comments <= 1.7 - 设置更新的跨站请求伪造漏洞

该 XSRF 漏洞允许攻击者在受影响的 WordPress 站点上执行恶意操作，无需用户交互。攻击者可以诱使用户点击恶意链接，从而触发伪造的请求，修改插件的 dxucauthorslist 和 dxuccommentcount 设置。这可能导致评论显示不正确、作者信息被篡改，甚至可能被用于进一步的攻击。由于该漏洞不需要身份验证，因此攻击者可以更容易地利用它，尤其是在管理员使用弱密码或容易受到社会工程学攻击的情况下。该漏洞的潜在影响包括网站信誉受损、用户数据泄露以及潜在的进一步攻击。

WordPress websites utilizing the DX Unanswered Comments plugin, particularly those with administrative accounts that are susceptible to phishing or social engineering attacks, are at risk. Shared hosting environments where multiple websites share the same server resources could also be indirectly affected if one site is compromised and used to launch attacks against others.

• wordpress / composer / npm:

grep -r 'dxuc-unanswered-comments-admin-page.php' /var/www/html/wp-content/plugins/

• wordpress / composer / npm:

wp plugin list | grep "DX Unanswered Comments"

• wordpress / composer / npm:

wp plugin update --all

• generic web: Inspect the plugin's admin page source code for missing nonce attributes in forms.

1. 2026-04-21Disclosure

   disclosure

1. 已保留2026-03-13
2. 发布日期2026-04-21
3. 修改日期2026-04-25
4. EPSS 更新日期2026-04-29

解决 CVE-2026-4138 的首要措施是升级 DX Unanswered Comments 插件到修复版本。如果无法立即升级，可以考虑以下缓解措施：实施严格的输入验证和输出编码，以防止 XSRF 攻击。使用 WordPress 的 nonce 功能来保护插件设置表单。限制管理员用户的权限，以减少攻击者利用漏洞的潜在影响。监控 WordPress 站点的访问日志，以检测可疑的 XSRF 攻击尝试。升级后，请验证插件设置是否已正确恢复，并检查是否有任何未经授权的更改。