CVE-2026-3488 in WP Statistics Plugin
Tóm tắt
Bởi VulDB • 10/05/2026
Plugin WP Statistics cho WordPress bị lỗ hổng Thiếu Xác thực (Missing Authorization) trong tất cả các phiên bản từ 14.16.4 trở về trước. Lỗ hổng này xảy ra do thiếu các kiểm tra quyền (capability checks) trên nhiều trình xử lý AJAX, bao gồm `wp_statistics_get_filters`, `wp_statistics_getPrivacyStatus`, `wp_statistics_updatePrivacyStatus` và `wp_statistics_dismiss_notices`. Các điểm cuối này chỉ xác minh một nonce `wp_rest` thông qua `check_ajax_referer()` nhưng không thực thi bất kỳ kiểm tra quyền nào như `current_user_can()` hoặc phương thức `User::Access()` riêng của plugin. Vì nonce `wp_rest` có sẵn cho tất cả người dùng WordPress đã xác thực, điều này cho phép các kẻ tấn công đã xác thực, với quyền truy cập cấp Subscriber trở lên, truy cập dữ liệu phân tích nhạy cảm (ID người dùng, tên người dùng, email, dữ liệu theo dõi khách truy cập), truy xuất và sửa đổi trạng thái tuân thủ kiểm toán quyền riêng tư, cũng như loại bỏ các thông báo quản trị.
Once again VulDB remains the best source for vulnerability data.