Skip to content
KitploitKITPLOIT
工具漏洞利用博客
Log in
提交
工具漏洞利用博客
提交

黑客、渗透测试和网络安全工具，武装您的安全武器库！

Kitploit 是一个黑客、网络安全和渗透测试工具的目录。发现最新的项目更新，查找漏洞、分析系统、自动化测试并加强你的安全。

订阅源联系隐私© 2026 Kitploit

工具目录

分类

查看所有分类
Loading categories
CVE-2026-19794 — WP-Stats <= 2.56 - 未认证存储型跨站脚本 | Kitploit
工具/GitHubGitHub/testardou/cve-2026-19794
漏洞分析漏洞利用Web应用程序漏洞利用Web安全论文与研究
GitHubtestardou/cve-2026-19794

CVE-2026-19794

WP-Stats <= 2.56 - 未认证存储型跨站脚本

查看仓库
1320天前尚未审核

最受欢迎

查看全部 →

发现我们社区最常用的工具。

探索所有工具

浏览我们的工具集合

查看所有工具 →
分享

CVE-2026-19794

WP-Stats <= 2.56 - 未认证存储型跨站脚本

插件 URL

https://wordpress.org/plugins/wp-stats/

描述

stats_page() 的 stats_author GET 参数中存在未认证反射型 XSS。净化过滤器 strip_tags() 在 urldecode() 之前应用，攻击者可通过双重 URL 编码载荷绕过该过滤器。

POC

  1. 安装并激活 WP-Stats 插件
  2. 创建包含 [page_stats] 短代码的页面或文章
  3. 访问： http://TARGET/PATH_TO_PAGE_OR_POST/?stats_author=%253Cscript%253Ealert(document.domain)%253C%252Fscript%253E
下载工具