CVE-2026-97347
Post Views Stats Counter <= 1.1.7 - Cross-Site Scripting Almacenado No Autenticado a través del Encabezado User-Agent
- Publicado
- 30 sept 2026
- Actualizado
- 30 sept 2026
- Asignación de CNA
- Wordfence
- Evidencia observada
- 4 nov 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:NBajo · próximos 30 días
- Percentil
- 25,3 %
- Fecha del modelo
- 4 nov 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
El plugin Post Views Stats Counter para WordPress es vulnerable a Cross-Site Scripting Almacenado a través del encabezado User-Agent en todas las versiones hasta la 1.1.7, inclusive, debido a una sanitización de entrada y un escape de salida insuficientes. Esto hace posible que atacantes no autenticados inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada. El único filtro de entrada del plugin es una lista negra de subcadenas para firmas de bots conocidas (por ejemplo, 'bot', 'spider', 'crawler'), que puede eludirse trivialmente creando un payload de User-Agent que omita esas cadenas.
Fuentes
Prueba de concepto para CVE-2026-97347, un XSS almacenado no autenticado en el plugin de WordPress Post Views Stats Counter a través del encabezado User-Agent, con pasos de reproducción.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.