CVE-2026-19794

WP-Stats <= 2.56 - अनधिकृत संग्रहीत क्रॉस-साइट स्क्रिप्टिंग

प्लगइन URL

https://wordpress.org/plugins/wp-stats/

विवरण

stats_page() के stats_author GET पैरामीटर में अनधिकृत प्रतिबिंबित XSS। सैनिटाइज़ेशन फ़िल्टर strip_tags() को urldecode() से पहले लागू किया जाता है, जिससे हमलावर पेलोड को दोहरे URL-एन्कोडिंग द्वारा इसे बायपास कर सकता है।

POC

1. WP-Stats प्लगइन इंस्टॉल और सक्रिय करें
2. [page_stats] शॉर्टकोड के साथ एक पेज या पोस्ट बनाएं
3. यहां नेविगेट करें: http://TARGET/PATH_TO_PAGE_OR_POST/?stats_author=%253Cscript%253Ealert(document.domain)%253C%252Fscript%253E