WordPress Frontis Blocks 插件 <= 1.1.5 - 服务器端请求伪造 (SSRF) 漏洞

攻击者利用此 SSRF 漏洞可以发起对内部网络或外部资源的恶意请求，绕过访问控制。例如，攻击者可能尝试访问内部管理界面、数据库或云服务，从而窃取敏感数据或执行未经授权的操作。此外，攻击者还可以利用该漏洞扫描内部网络，寻找其他潜在的漏洞。由于 Frontis Blocks 插件通常用于网站前端，因此攻击者可能通过该漏洞影响整个网站的安全性。

WordPress websites utilizing the Frontis Blocks plugin, particularly those with internal services accessible through the web server, are at risk. Shared hosting environments where plugin updates are managed centrally are also vulnerable if they have not yet applied the patch.

• wordpress / composer / npm:

grep -r 'wp_remote_get' /var/www/html/wp-content/plugins/frontis-blocks/

• generic web:

curl -I https://your-wordpress-site.com/wp-content/plugins/frontis-blocks/ | grep Server

1. 2026-01-22Disclosure

   disclosure

1. 已保留2025-12-15
2. 发布日期2026-01-22
3. 修改日期2026-04-28
4. EPSS 更新日期2026-03-23

最有效的缓解措施是立即将 Frontis Blocks 插件升级至 1.1.6 版本或更高版本。如果无法立即升级，可以考虑禁用 Frontis Blocks 插件，或者限制插件允许访问的外部资源。此外，建议审查 WordPress 网站的防火墙配置，确保能够阻止恶意请求。可以使用 Web 应用防火墙 (WAF) 或代理服务器来过滤流量，并配置 WordPress 的 define('WPHOME','...'); 和 define('WPSITEURL','...'); 确保其指向正确的域名，防止攻击者利用 SSRF 漏洞访问内部资源。