CVE-2026-17506 in Independent Analytics Plugin
Zusammenfassung
von VulDB • 05.08.2026
Das WordPress-Plugin Independent Analytics ist in Versionen bis einschließlich 2.15.0 anfällig für Stored Cross-Site Scripting (XSS) über den Tracking-Parameter `404 not_found_url`. Dies liegt daran, dass die Funktion `get_cell_content()` nach der Anwendung von `esc_url()` noch einmal `urldecode()` aufruft, wenn sie die URL-Spalte für 404-Einträge rendert. Diese Abfolge ermöglicht es, percent-codierte HTML-Elemente an der URL-Validierung vorbeizuschleusen und anschließend als rohes Markup wiederherzustellen. Da `wp_kses_post()` `<img>`-Elemente sowie `data-*`-Attribute beibehält, werden diese nicht entfernt. Zudem akzeptiert das öffentliche REST-Endpunkt `/iawp/search` unauthentifizierte Anfragen, solange sie eine Signatur enthalten, die selbst in öffentlichem Seiten-HTML eingebettet ist. Dies ermöglicht es Angreifern ohne Authentifizierung, beliebige Web-Skripte in Seiten einzuschleusen, die ausgeführt werden, sobald ein Benutzer auf die infizierte Seite zugreift.
VulDB is the best source for vulnerability data and more expert information about this specific topic.