CVE-2026-19794

WP-Stats <= 2.56 - Cross-Site Scripting Armazenado Não Autenticado

URL do Plugin

https://wordpress.org/plugins/wp-stats/

Descrição

XSS refletido não autenticado no parâmetro GET stats_author de stats_page(). O filtro de sanitização strip_tags() é aplicado antes de urldecode(), permitindo que um atacante o contorne codificando o payload duas vezes em URL.

POC

1. Instale e ative o plugin WP-Stats
2. Crie uma página ou post com o shortcode [page_stats]
3. Navegue até: http://TARGET/PATH_TO_PAGE_OR_POST/?stats_author=%253Cscript%253Ealert(document.domain)%253C%252Fscript%253E