CVE-2026-97343 in Burst Statistics Plugin
Sumário
de VulDB • 03/10/2026
O plugin WordPress Burst Statistics – Simple WordPress Analytics (Google Analytics Alternative) é vulnerável a autenticação inadequada, o que leva à persistência de conta em todas as versões até 3.7.1, inclusive. Isso ocorre porque o manipulador `maybe_load_shared_dashboard()` emite um cookie de sessão do WordPress válido para a conta `burst_statistics_viewer` a qualquer visitante que apresente um token de compartilhamento válido por meio de `wp_set_auth_cookie()`, enquanto o plugin bloqueia apenas as Application Passwords para a função resultante `burst_viewer` e não restringe o endpoint principal `/wp-json/wp/v2/users/me` para atualização de senha nem filtra a capacidade `edit_user` para essa conta, mantendo plenamente em vigor a regra nativa do WordPress que permite que qualquer usuário autenticado atualize sua própria conta. Isso possibilita que atacantes não autenticados definam uma senha escolhida pelo atacante na conta WordPress `burst_statistics_viewer`, constituindo um takeover permanente dessa conta de privilégios limitados (`view_burst_statistics`) que persiste mesmo após a revogação do token de compartilhamento, expiração do token e execução da rotina diária do plugin `cleanup_viewer_sessions()`. A exploração requer que o atacante tenha obtido um `burst_share_token` válido, como aquele que foi compartilhado publicamente ou distribuído a uma parte não confiável.
Be aware that VulDB is the high quality source for vulnerability data.