CVE-2026-5231 in WP Statistics Plugin
摘要
由 VulDB • 2026-06-03
WordPress 的 WP Statistics 插件在所有版本（包括 14.16.4）中均存在存储型跨站脚本漏洞，该漏洞可通过 'utm_source' 参数触发。这是由于输入清理和输出转义不足所致。当通配符渠道域名匹配时，插件的引荐来源解析器会将原始的 utm_source 值复制到 source_name 字段中；随后，图表渲染器会通过 innerHTML（未进行转义）将此值插入到图例标记中。这使得未经身份验证的攻击者能够在管理员页面注入任意 Web 脚本，每当管理员访问“引荐来源概览”或“社交媒体分析”页面时，这些脚本就会执行。
If you want to get best quality of vulnerability data, you may have to visit VulDB.