CVE-2026-100153
WysokieCVSS 7.2Streszczenie
Wtyczka NewStatPress dla WordPressa w wersjach do 1.4.5 włącznie jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'QUERY_STRING / REQUEST_URI'. Z powodu niewystarczającej sanityzacji danych wejściowych i braku escapowania danych wyjściowych nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkownika odwiedzającego zainfekowaną stronę. Wykorzystanie wymaga umieszczenia przez administratora shortcode [NewStatPress type="Top Pages"] na publicznie widocznej stronie oraz zgromadzenia przez spreparowany URL wystarczającej liczby odsłon, aby pojawił się w rankingu top-N.
Ocena ryzyka
Atakujący może wykonać dowolny kod JavaScript w przeglądarce użytkownika lub administratora, co może prowadzić do kradzieży sesji lub przejęcia konta. Ryzyko jest umiarkowane, ponieważ wymaga spełnienia dodatkowych warunków, ale może prowadzić do poważnych konsekwencji.
Rekomendacja
Zaktualizuj wtyczkę NewStatPress do wersji nowszej niż 1.4.5, gdy tylko będzie dostępna. Rozważ usunięcie shortcode [NewStatPress type="Top Pages"] z publicznie widocznych stron do czasu aktualizacji.
Inne podatności w NewStatPress
Zobacz wszystkie- CVE-2026-101924Wysokie
Wtyczka NewStatPress dla WordPressa do wersji 1.4.5 włącznie jest podatna na Stored Cross-Site Scripting przez pole 'Last referrers' na stronie administracyjnej Overview. Podatność wynika z niedostatecznego escapowania ciągu zapytania dostarczonego przez odwiedzającego, co pozwala nieuwierzytelnionym atakującym wstrzyknąć dowolne skrypty.
- CVE-2026-14845Średnie
Wtyczka NewStatPress dla WordPressa przed wersją 1.4.5 nie oczyszcza i nie koduje danych pochodzących z nieuwierzytelnionych żądań odwiedzających przed ich przechowaniem i późniejszym wyświetleniem w jednym z widgetów. Umożliwia to nieuwierzytelnionym atakującym przeprowadzenie ataków Stored Cross-Site Scripting na użytkowników przeglądających ten widget.
- CVE-2025-13747Średnie
Wtyczka NewStatPress dla WordPressa w wersjach do 1.4.3 włącznie jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez obejście wyrażenia regularnego w funkcji `nsp_shortcode` z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych na atrybutach dostarczonych przez użytkownika. Umożliwia to uwierzytelnionym atakującym z uprawnieniami Contributor i wyższymi wstrzyknięcie dowolnych skryptów, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
Oryginalny opis (angielski, źródło NVD)
The NewStatPress plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'QUERY_STRING / REQUEST_URI' parameter in all versions up to, and including, 1.4.5 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Exploitation requires that an administrator has placed the [NewStatPress type="Top Pages"] shortcode on a publicly viewable page, and that the attacker's crafted URL accumulates enough hits to appear in the top-N ranking.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS