Cross-Site Request Forgery (CSRF) in NewsBlogger (WordPress theme) (CVE-2025-12821)
Summary
Vulnerability in NewsBlogger (WordPress theme) (CVE-2025-12821). Successful exploitation can lead to full system takeover.
Original description
The description as published by the source.
The NewsBlogger theme for WordPress is vulnerable to Cross-Site Request Forgery in versions 0.2.5.6 to 0.2.6.1. This is due to missing or incorrect nonce validation on the newsblogger_install_and_activate_plugin() function. This makes it possible for unauthenticated attackers to upload arbitrary files and achieve remote code execution via a forged request granted they can trick a site administrator into performing an action such as clicking on a link. This is due to a reverted fix of CVE-2025-1305.
Source: NIST National Vulnerability Database NVD GitHub Advisory
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
WordPressのNewsBloggerテーマにおけるバージョン0.2.5.6から0.2.5.9は、CSRF脆弱性に対して脆弱です。この問題は、newsblogger_install_and_activate_plugin()関数におけるnonceの不適切な検証に起因しています。サイト管理者を欺いてリンクをクリックさせると、認証されていない攻撃者が任意のファイルをアップロードし、リモートコード実行を達成する可能性があります。
WordPress NewsBloggerテーマにおけるCSRF脆弱性。
バージョン0.2.5.6から0.2.5.9のnewsblogger_install_and_activate_plugin()関数。
攻撃者が任意のファイルをアップロードしリモートコード実行を行う可能性があるため、深刻度が高い。
CSRF攻撃を防ぐために、nonceの正しい検証を実装すること。
情報なし
ログを確認し、不審なリクエストがないかチェックする。
References
- web themes.trac.wordpress.org
- web themes.trac.wordpress.org
- web wordfence.com
- web nvd.nist.gov
- web github.com