CVE-2026-19794

WP-Stats <= 2.56 - 인증되지 않은 저장형 크로스 사이트 스크립팅

플러그인 URL

https://wordpress.org/plugins/wp-stats/

설명

stats_page()의 stats_author GET 파라미터에서 발생하는 인증되지 않은 반사형 XSS입니다. 정제 필터 strip_tags()가 urldecode() 이전에 적용되어, 공격자가 페이로드를 이중 URL 인코딩하여 이를 우회할 수 있습니다.

POC

1. WP-Stats 플러그인을 설치하고 활성화합니다
2. [page_stats] 숏코드가 포함된 페이지 또는 게시물을 생성합니다
3. 다음으로 이동합니다: http://TARGET/PATH_TO_PAGE_OR_POST/?stats_author=%253Cscript%253Ealert(document.domain)%253C%252Fscript%253E