美国国家漏洞数据库 (NVD) 和 Wordfence 发布了一份安全公告，指出存在一个高严重性跨站点请求伪造 (CSRF) 漏洞，该漏洞影响了 Nested Pages WordPress 插件，影响了多达 100,000 个安装。该漏洞的通用漏洞评分系统 (CVSS) 评级为 8.8（1-10 级），其中 10 代表最高严重性。
跨站请求伪造 (CSRF)
跨站点请求伪造 (CSRF) 是一种利用嵌套页面插件中的安全漏洞的攻击，允许未经身份验证的攻击者调用（执行）PHP 文件，即 WordPress 的代码级文件。
缺少或不正确的随机数验证，这是 WordPress 插件中用于保护表单和 URL 的常见安全功能。该插件的第二个缺陷是缺少称为清理的安全功能。清理是一种保护输入或输出数据的方法，这也是 WordPress 插件中常见的方法，但在本例中却缺失了。
根据Wordfence：
“这是由于‘settingsPage’函数缺少或不正确的随机数验证以及‘tab’参数缺少净化所致。”
CSRF 攻击依赖于让已登录的 WordPress 用户（如管理员）点击链接，从而允许攻击者完成攻击。此漏洞的评级为 8.8，这使其成为高严重性威胁。从这个角度来看，8.9 的评分是严重级别威胁，甚至更高。因此，8.8 的评分仅略低于严重级别威胁。
此漏洞影响 Nested Pages 插件的所有版本，最高版本为 3.2.7。该插件的开发人员在 3.2.8 版本中发布了安全修复程序，并在其更新日志中负责任地发布了安全更新的详细信息。
官方更新日志记录了安全修复：
“安全更新解决插件设置中的 CSRF 问题”
