漏洞关键信息总结 1. 漏洞概述 CVE编号: CVE-2025-14163 漏洞类型: 跨站请求伪造 (CSRF) 描述: 该漏洞存在于 Premium Addons for Elementor 插件中。攻击者可以利用此漏洞，诱骗已登录的用户在不知情的情况下创建新的 Elementor 模板。核心问题在于插件的 AJAX 操作接受了一个缺乏 CSRF 保护（如 nonce 验证）的状态更改请求。即使操作需要 权限（这对作者和编辑等常见角色是通用的），这意味着不仅限于管理员，普通编辑人员也可能触发此漏洞。 2. 影响范围 受影响插件: Premium Addons for Elementor 受影响版本: <= 4.11.53 活跃安装量: 700,000+ 总安装量: 57,894,631 发布日期: 2025年12月23日 研究人员: Dmitrii Ignatyev 3. 修复方案 核心修复: 在 AJAX 操作中增加 CSRF 保护，要求并验证服务器端的 nonce ( )。 具体建议: 确保 nonce 绑定到特定操作和用户会话。 保留能力检查，但必须与针对任何状态更改端点的 nonce 验证配对。 管理员应审计意外创建的模板，限制 权限，并监控 的创建活动。 4. POC/利用代码 以下是页面中提供的利用代码（POC），用于触发漏洞：