Plataforma
wordpress
Componente
block-country
Corrigido em
1.0.1
Uma vulnerabilidade de Cross-Site Request Forgery (CSRF) com potencial para Cross-Site Scripting (XSS) armazenado foi descoberta no plugin Block Country para WordPress. Esta falha permite que um atacante execute scripts maliciosos no navegador de outros usuários, comprometendo a integridade e confidencialidade dos dados. A vulnerabilidade afeta versões do plugin Block Country de 0.0.0 até a versão 1.0, sendo corrigida na versão 1.0.1.
A exploração bem-sucedida desta vulnerabilidade permite que um atacante execute código JavaScript arbitrário no contexto do navegador da vítima. Isso pode levar ao roubo de cookies de sessão, redirecionamento para sites maliciosos, modificação do conteúdo da página e, potencialmente, acesso não autorizado a contas de usuário. O impacto é amplificado em ambientes onde o plugin Block Country é amplamente utilizado, pois um único ataque pode afetar um grande número de usuários. A combinação de CSRF e XSS aumenta significativamente o risco, pois o atacante pode induzir a vítima a executar ações sem o seu conhecimento.
Esta vulnerabilidade foi divulgada em 2025-11-06. Não há informações disponíveis sobre exploração ativa ou inclusão no KEV (CISA Known Exploited Vulnerabilities) no momento da redação. A existência de um CSRF com XSS armazenado sugere um risco potencial, especialmente em ambientes WordPress com configurações de segurança padrão. A ausência de um Proof of Concept (PoC) público não diminui a importância de aplicar a correção.
Websites utilizing the Block Country plugin, particularly those with user accounts or forms that accept user input, are at risk. Shared hosting environments where multiple websites share the same server resources are also at increased risk, as a compromised plugin on one site could potentially impact others.
• wordpress / composer / npm:
grep -r 'nithinmaurya12 Block Country' /var/www/html/
wp plugin list | grep 'Block Country'• generic web:
curl -I https://your-wordpress-site.com/wp-content/plugins/block-country/ | grep -i 'x-frame-options'disclosure
Status do Exploit
EPSS
0.02% (percentil 4%)
CISA SSVC
Vetor CVSS
A mitigação primária é a atualização imediata para a versão 1.0.1 do plugin Block Country. Como alternativa, se a atualização imediata não for possível, implemente medidas de segurança adicionais, como a validação rigorosa de todas as entradas de usuário e a utilização de políticas de Content Security Policy (CSP) para restringir a execução de scripts de fontes não confiáveis. Considere também a implementação de um Web Application Firewall (WAF) com regras para detectar e bloquear solicitações CSRF. Monitore os logs do servidor WordPress em busca de atividades suspeitas, como solicitações com parâmetros inesperados ou redirecionamentos incomuns.
Atualize o plugin Block Country para a versão mais recente disponível para mitigar a vulnerabilidade de CSRF que permite a execução de código XSS armazenado. Consulte o repositório do plugin em wordpress.org para obter a versão mais recente e as instruções de atualização.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
CVE-2025-48077 is a CSRF-based Stored XSS vulnerability in the Block Country WordPress plugin, allowing attackers to inject malicious scripts.
You are affected if you are using Block Country versions 0.0.0 through 1.0. Upgrade to 1.0.1 to mitigate the risk.
Upgrade the Block Country plugin to version 1.0.1 or later. Consider implementing CSRF protection measures if immediate upgrade is not possible.
As of 2025-11-06, there are no confirmed reports of active exploitation, but the vulnerability is publicly known.
Check the Block Country plugin's official website or WordPress plugin repository for the latest advisory and update information.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.