CVE-2026-97347
Post Views Stats Counter <= 1.1.7 - User-Agent हेडर के माध्यम से अनधिकृत स्टोर्ड क्रॉस-साइट स्क्रिप्टिंग
- प्रकाशित
- 30 सित॰ 2026
- अद्यतन
- 30 सित॰ 2026
- सीएनए असाइन करना
- Wordfence
- साक्ष्य देखे गए
- 4 नव॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:Nकम · अगले 30 दिन
- प्रतिशत
- 25.3%
- मॉडल दिनांक
- 4 नव॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
WordPress के लिए Post Views Stats Counter प्लगइन User-Agent हेडर के माध्यम से Stored Cross-Site Scripting के प्रति संवेदनशील है, सभी संस्करणों में 1.1.7 तक और उस सहित, अपर्याप्त इनपुट सैनिटाइजेशन और आउटपुट एस्केपिंग के कारण। इससे अनधिकृत हमलावरों के लिए पेजों में मनमानी वेब स्क्रिप्ट इंजेक्ट करना संभव हो जाता है जो तब निष्पादित होंगी जब कोई उपयोगकर्ता इंजेक्ट किए गए पेज तक पहुँचेगा। प्लगइन का एकमात्र इनपुट फ़िल्टर ज्ञात बॉट सिग्नेचर (जैसे 'bot', 'spider', 'crawler') के लिए एक सबस्ट्रिंग ब्लैकलिस्ट है, जिसे उन स्ट्रिंग्स को छोड़कर एक User-Agent पेलोड तैयार करके आसानी से बायपास किया जा सकता है।
स्रोत
CVE-2026-97347 के लिए प्रूफ-ऑफ-कॉन्सेप्ट, जो Post Views Stats Counter WordPress प्लगइन में User-Agent हेडर के माध्यम से एक अनधिप्रमाणित स्टोर्ड XSS है, पुनरुत्पादन चरणों के साथ।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।