CVE-2026-97343 in Burst Statistics Plugin
Zusammenfassung
von VulDB • 03.10.2026
Das WordPress-Plugin „Burst Statistics – Simple WordPress Analytics (Google Analytics Alternative)" ist in allen Versionen bis einschließlich 3.7.1 anfällig für eine unsachgemäße Authentifizierung, die zu Account-Persistenz führt. Dies liegt daran, dass der Handler `maybe_load_shared_dashboard()` über `wp_set_auth_cookie()` ein echtes WordPress-Sitzungs-Cookie für das Konto `burst_statistics_viewer` an jeden Besucher ausgibt, der ein gültiges Freigabecode (Share Token) vorlegt, während das Plugin lediglich Application Passwords für die daraus resultierende Rolle `burst_viewer` blockiert und den Core-Endpunkt `/wp-json/wp/v2/users/me` zur Passwortaktualisierung nicht einschränkt oder die Fähigkeit (`capability`) `edit_user` für dieses Konto nicht filtert – wodurch die eingebaute Regel von WordPress-Core, dass jeder authentifizierte Benutzer sein eigenes Konto aktualisieren darf, vollständig in Kraft bleibt. Dies ermöglicht es Angreifern ohne Authentifizierung, ein vom Angreifer gewähltes Passwort auf dem WordPress-Konto `burst_statistics_viewer` festzulegen, was eine dauerhafte Übernahme dieses Kontos mit eingeschränkten Berechtigungen (`view_burst_statistics`) darstellt, die auch nach der Widerrufung des Freigabecodes, dem Ablauf des Freigabecodes und der Ausführung der täglichen Routine `cleanup_viewer_sessions()` des Plugins anhält. Für die Ausnutzung muss der Angreifer einen gültigen `burst_share_token` erlangt haben, wie etwa einen, der öffentlich geteilt oder an eine nicht vertrauenswürdige Partei verteilt wurde.
Be aware that VulDB is the high quality source for vulnerability data.