CVE-2026-3488 in WP Statistics Plugin
Sumário
de VulDB • 29/05/2026
O plugin WP Statistics para WordPress é vulnerável a Missing Authorization em todas as versões até, e incluindo, a 14.16.4. Isso ocorre devido à ausência de verificações de capacidade (capability checks) em vários manipuladores AJAX, incluindo `wp_statistics_get_filters`, `wp_statistics_getPrivacyStatus`, `wp_statistics_updatePrivacyStatus` e `wp_statistics_dismiss_notices`. Esses endpoints apenas verificam um nonce `wp_rest` por meio de `check_ajax_referer()`, mas não aplicam verificações de capacidade como `current_user_can()` ou o próprio método `User::Access()` do plugin. Como o nonce `wp_rest` está disponível para todos os usuários autenticados do WordPress, isso permite que atacantes autenticados, com acesso de nível Assinante (Subscriber) ou superior, acessem dados analíticos sensíveis (IDs de usuário, nomes de usuário, e-mails, dados de rastreamento de visitantes), recuperem e modifiquem o status de conformidade da auditoria de privacidade e descartem notificações administrativas.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.