CVE-2026-5231 in WP Statistics Plugin
Сводка
по VulDB • 03.06.2026
Плагин WP Statistics для WordPress уязвим к Stored Cross-Site Scripting (XSS) через параметр 'utm_source' во всех версиях вплоть до 14.16.4 включительно. Это связано с недостаточной очисткой входных данных и экранированием выходных данных. Парсер рефералов плагина копирует необработанное значение utm_source в поле source_name при совпадении домена канала по шаблону, а позже рендерер диаграмм вставляет это значение в разметку легенды через innerHTML без экранирования. Это позволяет неаутентифицированным злоумышленникам внедрять произвольные веб-скрипты на страницы администратора, которые будут выполняться всякий раз, когда администратор получает доступ к страницам обзора рефералов (Referrals Overview) или аналитики социальных сетей.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.