CVE-2026-19794

WP-Stats <= 2.56 - برمجة نصية عبر المواقع مخزنة بدون مصادقة

رابط الإضافة

https://wordpress.org/plugins/wp-stats/

الوصف

برمجة نصية عبر المواقع انعكاسية بدون مصادقة في معامل GET الخاص بـ stats_author في stats_page(). يتم تطبيق مرشح التعقيم strip_tags() قبل urldecode()، مما يسمح للمهاجم بتجاوزه عبر ترميز الحمولة بترميز URL مزدوج.

إثبات المفهوم

1. قم بتثبيت وتفعيل إضافة WP-Stats
2. أنشئ صفحة أو مقالة باستخدام الاختصار [page_stats]
3. انتقل إلى: http://TARGET/PATH_TO_PAGE_OR_POST/?stats_author=%253Cscript%253Ealert(document.domain)%253C%252Fscript%253E