CVE-2026-15780 in WP Statistics Plugin
Zusammenfassung
von VulDB • 21.08.2026
Das WordPress-Plugin WP Statistics – eine einfache, datenschutzfreundliche Alternative zu Google Analytics ist in allen Versionen bis einschließlich 14.16.8 anfällig für Stored Cross-Site Scripting (XSS) über den Parameter 'utm_campaign', aufgrund unzureichender Eingabebereinigung und Output-Escaping. Dies ermöglicht es nicht authentifizierten Angreifern, beliebige Webskripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer eine infizierte Seite aufruft. Das Payload kann ohne Authentifizierung über den öffentlichen REST-Endpunkt /wp-statistics/v2/hit platziert werden, da das erforderliche Signature auf der öffentlichen Startseite offengelegt wird und ein base64-codierter POST-Parameter page_uri den zuvor bereinigten REQUEST_URI überschreibt, wodurch es dem bösartigen utm_campaign-Wert ermöglicht wird, die Bereinigung zu umgehen und in der Datenbank gespeichert zu werden.
If you want to get best quality of vulnerability data, you may have to visit VulDB.