CVE-2026-19794

WP-Stats <= 2.56 - Неаутентифицированное хранимое межсайтовое скриптовое внедрение

URL плагина

https://wordpress.org/plugins/wp-stats/

Описание

Неаутентифицированное отражённое XSS в GET-параметре stats_author функции stats_page(). Фильтр очистки strip_tags() применяется до urldecode(), что позволяет злоумышленнику обойти его путём двойного URL-кодирования полезной нагрузки.

POC

1. Установите и активируйте плагин WP-Stats
2. Создайте страницу или запись с шорткодом [page_stats]
3. Перейдите по адресу: http://TARGET/PATH_TO_PAGE_OR_POST/?stats_author=%253Cscript%253Ealert(document.domain)%253C%252Fscript%253E