一、 漏洞 CVE-2025-2935 基础信息
漏洞信息
                                        # 防 spam：Spam Protection 插件 <= 2024.7 版本存在跨站请求伪造漏洞可执行多个管理员操作

## 漏洞概述
WordPress插件 Anti-Spam: Spam Protection | Block Spam Users, Comments, Forms 存在跨站请求伪造（Cross-Site Request Forgery, CSRF）漏洞。此漏洞允许未经授权的攻击者执行诸如删除待处理评论和重新启用被封锁用户等操作。

## 影响版本
所有版本，包括 2024.7 及以下版本。

## 漏洞细节
漏洞源于 `ss_option_maint.php` 和 `ss_user_filter_list` 文件中缺少或不正确的 nonce 验证。攻击者可以通过伪造请求（例如诱导站点管理员点击链接）来删除待处理评论或重新启用之前被封锁的用户。

## 漏洞影响
- 未经授权的攻击者可以删除待处理的评论。
- 攻击者可以重新启用之前被封锁的用户。
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
Anti-Spam: Spam Protection | Block Spam Users, Comments, Forms <= 2024.7 - Cross-Site Request Forgery to Multiple Administrative Actions
来源：美国国家漏洞数据库 NVD
漏洞描述信息
The Anti-Spam: Spam Protection | Block Spam Users, Comments, Forms plugin for WordPress is vulnerable to Cross-Site Request Forgery in all versions up to, and including, 2024.7. This is due to missing or incorrect nonce validation in the 'ss_option_maint.php' and 'ss_user_filter_list' files. This makes it possible for unauthenticated attackers to delete pending comments, and re-enable a previously blocked user via a forged request granted they can trick a site administrator into performing an action such as clicking on a link.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N
来源：美国国家漏洞数据库 NVD
漏洞类别
跨站请求伪造(CSRF)
来源：美国国家漏洞数据库 NVD
二、漏洞 CVE-2025-2935 的公开POC
# POC 描述 源链接 神龙链接
三、漏洞 CVE-2025-2935 的情报信息

  • 标题： Anti-Spam: Spam Protection | Block Spam Users, Comments, Forms <= 2024.7 - Cross-Site Request Forgery to Multiple Administrative Actions -- 🔗来源链接

    标签：

    神龙速读
    Anti-Spam: Spam Protection | Block Spam Users, Comments, Forms <= 2024.7 - Cross-Site Request Forgery to Multiple Administrative Actions

  • 标题： ss_option_maint.php in stop-spammer-registrations-plugin/trunk/settings – WordPress Plugin Repository -- 🔗来源链接

    标签：

    神龙速读
    ss_option_maint.php in stop-spammer-registrations-plugin/trunk/settings – WordPress Plugin Repository

  • 标题： ss_user_filter_list.php in stop-spammer-registrations-plugin/trunk/settings – WordPress Plugin Repository -- 🔗来源链接

    标签：

    神龙速读
    ss_user_filter_list.php in stop-spammer-registrations-plugin/trunk/settings – WordPress Plugin Repository

  • 标题： ss_user_filter_list.php in stop-spammer-registrations-plugin/trunk/settings – WordPress Plugin Repository -- 🔗来源链接

    标签：

    神龙速读
    ss_user_filter_list.php in stop-spammer-registrations-plugin/trunk/settings – WordPress Plugin Repository
  • https://nvd.nist.gov/vuln/detail/CVE-2025-2935