PT-2026-33395 · WordPress · Wp Statistics

Daroo · CVE-2026-5231 · Publicado 2026-04-17 · Atualizado 2026-04-22

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N

Name of the Vulnerable Software and Affected Versions WP Statistics versões anteriores a 14.16.5

Description Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes. O analisador de referências copia o valor bruto do parâmetro 'utm source' para o campo source name quando um domínio de canal curinga coincide. Posteriormente, o renderizador de gráficos insere esse valor na marcação da legenda via innerHTML sem escape. Isso permite que atacantes não autenticados injetem scripts web arbitrários em páginas de administração, que são executados quando um administrador acessa as páginas de Visão Geral de Referências ou análises de Mídias Sociais. Incidentes reais de exploração deste problema foram relatados.

Recommendations Atualize para uma versão posterior à 14.16.4.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-5231

Produtos afetados

Wp Statistics

Referências · 13

• https://twitter.com/ctiwatchcloud/status/2046438853079097534 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/9b350b48-05ba-4054-895f-36d7ad71459d?source=cve · Nota
• https://twitter.com/CVEnew/status/2045102622990905504 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/wp-statistics/trunk/assets/dev/javascript/chart.js#L498 · Nota
• https://twitter.com/NewsNerdie/status/2045140845674811501 · Publicação no Twitter
• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&new=3503795%40wp-statistics%2Ftrunk&old=3483860%40wp-statistics%2Ftrunk&sfp_email=&sfph_mail= · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-5231 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/2044991766151979107 · Publicação no Twitter
• https://twitter.com/ctiwatchcloud/status/2047062894634778758 · Publicação no Twitter
• https://twitter.com/cypherbyteio/status/2045102068281516504 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/wp-statistics/tags/14.16.4/assets/dev/javascript/chart.js#L498 · Nota
• https://plugins.trac.wordpress.org/browser/wp-statistics/trunk/src/Service/Analytics/Referrals/ReferralsParser.php#L62 · Nota
• https://plugins.trac.wordpress.org/browser/wp-statistics/tags/14.16.4/src/Service/Analytics/Referrals/ReferralsParser.php#L62 · Nota