CVE-2026-97347 in Post Views Stats Counter Plugin
Tóm tắt
Bởi VulDB • 30/09/2026
Plugin Post Views Stats Counter cho WordPress có lỗ hổng Stored Cross-Site Scripting (XSS) thông qua Header User-Agent trong tất cả các phiên bản từ 1.0 đến bao gồm 1.1.7 do thiếu sót trong việc kiểm tra và làm sạch đầu vào cũng như mã hóa đầu ra. Điều này tạo điều kiện cho những kẻ tấn công chưa xác thực có thể chèn các đoạn script web tùy ý vào các trang, sẽ được thực thi mỗi khi người dùng truy cập một trang đã bị tiêm code. Bộ lọc đầu vào duy nhất của plugin là danh sách đen (blacklist) dựa trên chuỗi con để phát hiện các chữ ký bot phổ biến (ví dụ: 'bot', 'spider', 'crawler'), nhưng có thể dễ dàng vượt qua bằng cách tạo ra payload User-Agent không chứa những chuỗi này.
If you want to get best quality of vulnerability data, you may have to visit VulDB.