Plateforme
wordpress
Composant
block-country
Corrigé dans
1.0.1
Une vulnérabilité CSRF (Cross-Site Request Forgery) a été découverte dans le plugin Block Country pour WordPress, permettant l'exécution de scripts malveillants de type XSS stockée. Cette faille permet à un attaquant d'injecter du code JavaScript malveillant qui sera ensuite exécuté dans le navigateur d'autres utilisateurs. Elle affecte les versions du plugin de 0.0.0 à 1.0, et une correction est disponible dans la version 1.0.1.
L'exploitation réussie de cette vulnérabilité XSS stockée permet à un attaquant d'injecter du code JavaScript arbitraire dans les pages du site WordPress. Ce code peut être utilisé pour voler des cookies de session, rediriger les utilisateurs vers des sites malveillants, modifier le contenu du site web, ou même exécuter des actions au nom de l'utilisateur connecté. L'attaquant peut ainsi compromettre la sécurité du site web et des données des utilisateurs. Le risque est accru si le plugin est utilisé sur des sites web sensibles ou contenant des informations personnelles.
Cette vulnérabilité a été publiée le 6 novembre 2025. Il n'y a pas d'indication d'exploitation active à ce jour, ni de présence dans le KEV de CISA. La probabilité d'exploitation est considérée comme faible en raison de la nécessité d'une interaction utilisateur pour déclencher la XSS.
Websites utilizing the Block Country plugin, particularly those with user accounts or forms that accept user input, are at risk. Shared hosting environments where multiple websites share the same server resources are also at increased risk, as a compromised plugin on one site could potentially impact others.
• wordpress / composer / npm:
grep -r 'nithinmaurya12 Block Country' /var/www/html/
wp plugin list | grep 'Block Country'• generic web:
curl -I https://your-wordpress-site.com/wp-content/plugins/block-country/ | grep -i 'x-frame-options'disclosure
Statut de l'Exploit
EPSS
0.02% (percentile 4%)
CISA SSVC
Vecteur CVSS
La mitigation immédiate consiste à mettre à jour le plugin Block Country vers la version 1.0.1 ou supérieure. En attendant la mise à jour, il est possible de renforcer la sécurité en activant le filtrage des entrées utilisateur et en limitant les privilèges des utilisateurs. L'utilisation d'un Web Application Firewall (WAF) peut également aider à bloquer les requêtes malveillantes. Vérifiez après la mise à jour que le plugin fonctionne correctement et qu'aucune fonctionnalité n'est compromise.
Mettez à jour le plugin Block Country vers la dernière version disponible pour atténuer la vulnérabilité CSRF qui permet l'exécution de code XSS stocké. Consultez le référentiel du plugin sur wordpress.org pour obtenir la version la plus récente et les instructions de mise à jour.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2025-48077 is a CSRF-based Stored XSS vulnerability in the Block Country WordPress plugin, allowing attackers to inject malicious scripts.
You are affected if you are using Block Country versions 0.0.0 through 1.0. Upgrade to 1.0.1 to mitigate the risk.
Upgrade the Block Country plugin to version 1.0.1 or later. Consider implementing CSRF protection measures if immediate upgrade is not possible.
As of 2025-11-06, there are no confirmed reports of active exploitation, but the vulnerability is publicly known.
Check the Block Country plugin's official website or WordPress plugin repository for the latest advisory and update information.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.