WordPress Block Country 插件 <= 1.0 - 跨站请求伪造 (CSRF) 导致存储型 XSS 漏洞

攻击者可以利用此 XSS 漏洞执行任意 JavaScript 代码，从而窃取用户的 Cookie、会话令牌和其他敏感信息。攻击者还可以利用此漏洞劫持用户会话，冒充用户执行恶意操作，例如更改用户配置或发布恶意内容。由于该漏洞利用 CSRF，攻击者无需用户交互即可执行攻击，增加了攻击的隐蔽性和成功率。如果 Block Country 插件处理用户输入，攻击者可能能够注入恶意脚本到数据库中，影响所有使用该插件的用户。

Websites utilizing the Block Country plugin, particularly those with user accounts or forms that accept user input, are at risk. Shared hosting environments where multiple websites share the same server resources are also at increased risk, as a compromised plugin on one site could potentially impact others.

• wordpress / composer / npm:

grep -r 'nithinmaurya12 Block Country' /var/www/html/
wp plugin list | grep 'Block Country'

• generic web:

curl -I https://your-wordpress-site.com/wp-content/plugins/block-country/ | grep -i 'x-frame-options'

1. 2025-11-06Disclosure

   disclosure

1. 已保留2025-05-15
2. 发布日期2025-11-06
3. 修改日期2026-04-28
4. EPSS 更新日期2026-03-23

最有效的缓解措施是立即将 Block Country WordPress 插件升级至 1.0.1 版本。如果无法立即升级，可以考虑禁用 Block Country 插件，或者限制其功能以减少攻击面。此外，实施严格的输入验证和输出编码策略，可以有效防止 XSS 攻击。使用 WordPress 的内容安全策略 (CSP) 功能，可以限制浏览器加载的脚本来源，进一步降低风险。建议定期审查 WordPress 插件的安全配置，并及时更新所有插件以修复已知的漏洞。