漏洞概述
CVE-2025-66147是一个缺失授权漏洞，存在于由merkulove开发的WordPress插件“Coder for Elementor”中[citation:2]。该漏洞的官方描述为：Missing Authorization vulnerability in merkulove Coder for Elementor coder-elementor allows Exploiting Incorrectly Configured Access Control Security Levels[citation:2]。
技术细节与影响
- 漏洞本质：该漏洞被归类为 CWE-862：缺失授权[citation:4]。这意味着插件未能对某些功能或请求执行必要的权限验证。
- 攻击后果：成功利用此漏洞允许攻击者利用配置不当的访问控制安全级别[citation:2][citation:4]。这通常可能导致未授权用户访问本应受限的功能或数据。
- 影响范围：此问题影响“Coder for Elementor”插件，从初始版本到 1.0.13及之前的所有版本[citation:2][citation:6]。
- 漏洞状态：该CVE记录的状态为 “已发布”，并由Patchstack团队分配[citation:4]。
背景与关联风险
值得注意的是，CVE-2025-66147并非一个孤立事件。在相近时间内，同一开发商（merkulove）旗下多款用于Elementor的插件被爆出存在同类型的“缺失授权”漏洞[citation:2]。例如：
- CVE-2025-68088 - Huger for Elementor[citation:2][citation:4]
- CVE-2025-68087 - Modalier for Elementor[citation:2]
- CVE-2025-68086 - Reformer for Elementor[citation:2]
- CVE-2025-66161 - Grider for Elementor[citation:2][citation:6]
这一系列漏洞表明，WordPress生态系统中的插件，尤其是为流行页面构建器（如Elementor）提供扩展功能的插件，其访问控制机制的安全性需要得到持续关注和审计[citation:8][citation:9]。
解决方案与缓解措施
对于用户而言，最直接的缓解措施是：
- 立即更新插件：将“Coder for Elementor”插件升级到高于1.0.13的已修复版本。
- 审查相关插件：检查并更新其他可能受到影响的merkulove旗下Elementor插件[citation:2]。
- 遵循安全实践：保持所有WordPress核心、主题和插件为最新版本，是防御此类已知漏洞的基础[citation:8]。 aeYFGlNGPch5/i0AskAWpmMVXj3lzK9JFM/1O1GWF7A2+I89qBgDXY/gEyWpxYNu5wq01q5nGH0h2W89bmcVF4Qnr2tkt7QYNoiohw7LVfocUqAYoKubLA9GGu0QUMRY
