CVE-2025-13615 - StreamTube Core <= 4.78 - 无需认证的任意用户密码更改
概述
WordPress的StreamTube Core插件在4.78及之前版本中存在一个“任意用户密码更改”漏洞。该漏洞源于插件提供了用户可控的对象访问权限，允许用户绕过授权并访问系统资源。这使得未经身份验证的攻击者能够更改用户密码，并可能接管管理员账户。注意：只有在主题选项中启用了“注册密码字段”时，此漏洞才能被利用。
漏洞信息
- 发布日期：2025年11月30日，凌晨2:15
- 最后修改日期：2025年11月30日，凌晨2:15
- 远程可利用：是
- 漏洞来源：security@wordfence.com
受影响产品
目前尚无已记录的受影响产品详细信息。
CVSS 评分
该漏洞的CVSS 3.1基础评分为 9.8（严重）。
| 评分 | 版本 | 严重性 | 向量 | 可利用性评分 | 影响评分 | 来源 |
|---|---|---|---|---|---|---|
| 9.8 | CVSS 3.1 | 严重 | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H | 3.9 | 5.9 | security@wordfence.com |
| 9.8 | CVSS 3.1 | 严重 | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H | 3.9 | 5.9 | MITRE-CVE |
解决方案
- 将StreamTube Core插件更新到最新版本。
- 如果不需要，请禁用“注册密码字段”选项。
公开的PoC/漏洞利用
在GitHub上已有1个公开的漏洞利用概念验证（PoC）。
- 仓库：blossombutt4063/CVE-2025-13615
- 状态：零日漏洞
- 更新时间：5小时37分钟前
参考链接
- https://themeforest.net/item/streamtube-responsive-video-wordpress-theme/33821786
- https://www.wordfence.com/threat-intel/vulnerabilities/id/b812a0d7-99a1-4f61-b78a-78cea6a2ada1?source=cve
相关CWE（常见缺陷枚举）
- CWE-639：通过用户控制密钥绕过授权
漏洞时间线
- 2025年11月30日：收到来自security@wordfence.com的新CVE报告。添加了描述、CVSS V3.1向量、CWE标识和参考链接。