漏洞概述 CVE编号: CVE-2025-14371 漏洞名称: TaxoPress – IDOR / Object-Level Authorization Bypass to Modify Terms of Arbitrary Post 描述: 该漏洞允许任何经过身份验证的用户（通常是 Contributor 或 Author 及以上级别）添加或移除他们无权编辑的帖子上的标签和其他分类术语。这破坏了一个核心的 WordPress 安全边界，导致低权限账户可以暗中重塑内容发现方式（如 SEO、搜索相关性），即使该用户无法打开目标帖子的编辑器。 影响范围 受影响插件: TaxoPress 受影响版本: <= 3.41.0 活跃安装数: 50,000+ 修复方案 技术修复: 在允许修改特定帖子的逻辑中（位于 第 681 至 797 行），必须添加 WordPress 标准的对象权限检查 。代码目前仅验证了 AI nonce 和常规元框权限，但未验证调用者是否有权修改特定帖子。需要添加一个 guard（守卫）来绑定操作到授权帖子。 官方建议: 升级插件至安全版本，并采取主动措施解决 IDOR 漏洞。 POC代码