CVE-2026-19794

WP-Stats <= 2.56 - Cross-Site Scripting Almacenado No Autenticado

URL del Plugin

https://wordpress.org/plugins/wp-stats/

Descripción

XSS reflejado no autenticado en el parámetro GET stats_author de stats_page(). El filtro de saneamiento strip_tags() se aplica antes de urldecode(), lo que permite a un atacante eludirlo codificando el payload dos veces en URL.

POC

1. Instalar y activar el plugin WP-Stats
2. Crear una página o entrada con el shortcode [page_stats]
3. Navegar a: http://TARGET/PATH_TO_PAGE_OR_POST/?stats_author=%253Cscript%253Ealert(document.domain)%253C%252Fscript%253E