CVE-2023-5448 – WP Register Profile With Shortcode – CSRF to password Reset 漏洞概述 该漏洞存在于 WP Register Profile With Shortcode 插件中，类型为 CSRF (跨站请求伪造)。 漏洞描述: 在 功能中存在CSRF漏洞。这使得攻击者能够执行未经授权的密码重置，对用户账户安全构成严重威胁，甚至在某些情况下可能控制管理员级别的账户。 CVE ID: CVE-2023-5448 严重性: Super High (超级高) 研究者: Dmtrii Ignatyev 影响范围 受影响插件: WP Register Profile With Shortcode 受影响版本: <= 3.5.9 活跃安装量: 1000+ 潜在风险: 未经授权的密码更改: 攻击者可以在用户不知情的情况下更改其密码。 账户接管: 特别是针对管理员账户，可能导致完全接管。 权限提升: 如果攻击者控制了管理员账户，可利用 elevated privileges 破坏整个WordPress系统。 修复方案 1. 立即修补: 开发者应发布紧急补丁或更新以解决此特定CSRF漏洞。 2. 用户教育: 告知用户点击不明链接的风险以及定期更改密码的重要性。 3. 多因素认证 (MFA): 鼓励或强制使用多因素认证以增加额外的安全层。 4. 安全审计:** 进行彻底的安全审计以识别并纠正WordPress设置中的任何其他潜在漏洞。 POC代码