CVE-2026-12592

WysokieCVSS 7.5

Opublikowano: 20/07/2026(UTC)Zaktualizowano: 20/07/2026(UTC)Przetłumaczono: 21/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.20%

Percentyl 11 - wyżej niż 11% wszystkich znanych CVE

Streszczenie

Wtyczka SlimStat Analytics dla WordPress przed wersją 5.5.0 nie zabezpiecza wartości geolokalizacji kontrolowanej przez odwiedzającego przed wyświetleniem jej w raportach administracyjnych. Umożliwia to niezalogowanym odwiedzającym przechowanie ładunku cross-site scripting (XSS), który wykonuje się w przeglądarce administratora przeglądającego raporty. Wymagana jest konfiguracja wtyczki z dostawcą geolokalizacji Cloudflare.

Ocena ryzyka

Atakujący może przejąć sesję administratora, wykraść dane wrażliwe lub zmodyfikować ustawienia witryny WordPress, co prowadzi do pełnej kompromitacji serwisu.

Rekomendacja

Należy natychmiast zaktualizować wtyczkę SlimStat Analytics do wersji 5.5.0 lub nowszej. Jeśli aktualizacja nie jest możliwa, tymczasowo wyłącz dostawcę geolokalizacji Cloudflare w ustawieniach wtyczki.

Inne podatności w SlimStat Analytics

CVE-2026-27410Średnie
W wersjach Slimstat Analytics poniżej 5.4.0 występuje podatność na nieautoryzowaną deserializację niezaufanych danych.

Oryginalny opis (angielski, źródło NVD)

The SlimStat Analytics WordPress plugin before 5.5.0 does not escape a visitor-controlled geolocation value before outputting it in its admin analytics reports, allowing unauthenticated visitors to store a cross-site scripting payload that executes in the browser of an administrator who views the reports. Exploitation requires the SlimStat Analytics WordPress plugin before 5.5.0 to be configured to use the Cloudflare geolocation provider.