漏洞总结 漏洞概述 CVE编号: CVE-2025-9979 漏洞名称: Maspik - Authenticated (Subscriber+) Missing Authorization to Spam Log Export 描述: Maspik 插件中存在关键漏洞，允许任何经过身份验证的用户（即使是最低权限的 Subscriber+）导出整个垃圾邮件日志为 CSV 文件。这导致敏感数据（如电子邮件地址、IP、用户代理等）在没有任何 nonce 或权限检查的情况下泄露。 影响范围 受影响插件: Maspik (Maspik - Ultimate Spam Protection) 受影响版本: Maspik <= 2.5.6 活跃安装量: 30,000+ 研究人员: Dmitrii Ignatyev 修复方案 1. 强制能力检查 (Enforce Capability Checks): 在生成和返回 CSV 之前，要求 ，确保只有管理员可以导出日志。 2. 添加 Nonce 验证 (Add Nonce Validation): 在 中纳入 以防止 CSRF。 3. 限制角色访问 (Limit Role Access): 审计插件端点，将数据导出功能限制为管理员角色。 4. 日志记录与警报 (Logging & Alerts): 实施管理警报以记录 CSV 导出操作（记录用户、时间戳和 IP）。 5. 定期审计 (Periodic Audits): 定期检查插件代码中的缺失授权检查，特别是在 admin-post 和 admin-ajax 路由上。 POC 代码