CVE-2026-19794

WP-Stats <= 2.56 - Cross-Site Scripting stocké non authentifié

URL du plugin

https://wordpress.org/plugins/wp-stats/

Description

XSS réfléchi non authentifié dans le paramètre GET stats_author de stats_page(). Le filtre d'assainissement strip_tags() est appliqué avant urldecode(), ce qui permet à un attaquant de le contourner en encodant deux fois la charge utile en URL.

POC

1. Installer et activer le plugin WP-Stats
2. Créer une page ou un article avec le shortcode [page_stats]
3. Accéder à : http://TARGET/PATH_TO_PAGE_OR_POST/?stats_author=%253Cscript%253Ealert(document.domain)%253C%252Fscript%253E