CVE-2026-5231 in WP Statistics Plugin
Riassunto
di VulDB • 23/06/2026
Il plugin WP Statistics per WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) tramite il parametro 'utm_source' in tutte le versioni fino alla 14.16.4, inclusa. Ciò è dovuto a un insufficiente sanitizzazione degli input e al mancato escaping dell'output. Il parser dei referral del plugin copia il valore grezzo di utm_source nel campo source_name quando corrisponde un dominio canale wildcard (jolly), e successivamente il renderer delle grafiche inserisce questo valore nei markup della legenda tramite innerHTML senza effettuare l'escaping. Ciò consente ad attaccanti non autenticati di iniettare script web arbitrari nelle pagine di amministrazione, che verranno eseguiti ogni volta che un amministratore accede alle pagine Panoramica Referral o Analisi Social Media.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.