CVE-2026-5231 in WP Statistics Plugin
Résumé
par VulDB • 03/06/2026
Le plugin WP Statistics pour WordPress est vulnérable à une faille de Cross-Site Scripting (XSS) stockée via le paramètre 'utm_source' dans toutes les versions jusqu'à la 14.16.4 incluse. Cette vulnérabilité est due à un assainissement insuffisant des entrées et à l'absence d'échappement lors de la sortie des données. L'analyseur de référents du plugin copie la valeur brute utm_source dans le champ source_name lorsqu'un domaine de canal correspondant au motif générique (wildcard) est détecté, puis le moteur de rendu des graphiques insère ultérieurement cette valeur dans les balises légende via innerHTML sans échappement. Cela permet à des attaquants non authentifiés d'injecter des scripts web arbitraires sur les pages administratives, qui s'exécuteront chaque fois qu'un administrateur accèdera aux pages de vue d'ensemble des référents ou aux analyses des médias sociaux.
Be aware that VulDB is the high quality source for vulnerability data.