CVE-2026-94661 Crocoblock JetBlog 反射型 XSS 漏洞

CVE-2026-94661 是 Crocoblock JetBlog（WordPress 插件）中的反射型跨站脚本漏洞，源于网页生成过程中对输入未做正确中和处理。该漏洞影响 JetBlog 2.4.10 及之前版本，攻击者可通过构造恶意链接在受害者浏览器中执行脚本。

影响范围

Crocoblock JetBlog

JetBlog 插件 2.4.10 及之前版本（n/a 至 2.4.10）。

漏洞详情

漏洞类型为反射型 XSS（CWE-79），成因是插件在生成页面时未对用户可控输入进行充分的转义或过滤。攻击者可将恶意脚本嵌入特制 URL 参数，诱导受害者点击后脚本在目标站点上下文中执行。

利用条件与风险

利用需诱导受害者访问恶意构造的链接，属于典型钓鱼式攻击场景；成功利用可窃取 Cookie、会话令牌或进行页面篡改，实战风险中等偏高。

修复建议

建议升级 JetBlog 至 2.4.10 之后的修复版本；若暂无可用更新，可对输入参数进行严格过滤转义，并部署 WAF 规则拦截可疑 XSS 载荷。

Improper Neutralization of Input During Web Page Generation (‘Cross-site Scripting’) vulnerability in Crocoblock JetBlog jet-blog allows Reflected XSS.This issue affects JetBlog: from n/a through 2.4.10.