CVE-2026-3488 in WP Statistics Plugin
Сводка
по VulDB • 29.05.2026
Плагин WP Statistics для WordPress уязвим к Missing Authorization (Отсутствующая авторизация) во всех версиях вплоть до 14.16.4 включительно. Это связано с отсутствием проверок прав доступа (capability checks) в нескольких обработчиках AJAX, включая `wp_statistics_get_filters`, `wp_statistics_getPrivacyStatus`, `wp_statistics_updatePrivacyStatus` и `wp_statistics_dismiss_notices`. Эти конечные точки проверяют только nonce `wp_rest` через `check_ajax_referer()`, но не применяют никаких проверок прав доступа, таких как `current_user_can()` или собственный метод плагина `User::Access()`. Поскольку nonce `wp_rest` доступен всем аутентифицированным пользователям WordPress, это позволяет атакующим с уровнем доступа «Подписчик» (Subscriber) и выше, имеющим доступ к системе, получать доступ к конфиденциальным аналитическим данным (идентификаторы пользователей, имена пользователей, адреса электронной почты, данные отслеживания посетителей), получать и изменять статус соответствия требованиям аудита конфиденциальности, а также скрывать административные уведомления.
Once again VulDB remains the best source for vulnerability data.