CVE-2026-6275: StatCounter WordPress Plugin podatny na Stored Cross-Site Scripting

Co wiadomo

Wtyczka StatCounter – Free Real Time Visitor Stats dla WordPress w wersjach do 2.1.1 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) z powodu niewystarczającego zabezpieczenia wyjścia w funkcji statcounter_addToTags(). Atakujący z uprawnieniami autora mogą wstrzykiwać złośliwe skrypty, które wykonują się u każdego odwiedzającego stronę.

Wpływ biznesowy

Podatność pozwala na wstrzyknięcie i wykonanie złośliwego kodu JavaScript na stronach postów, co może prowadzić do kradzieży sesji, przejęcia kont użytkowników lub innych działań szkodliwych dla reputacji i bezpieczeństwa serwisu. Operatorzy stron WordPress korzystających z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie, zwłaszcza jeśli umożliwiają dostęp do panelu autorom treści.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki StatCounter i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również przeprowadzić audyt bezpieczeństwa i edukować autorów treści w zakresie bezpiecznego wprowadzania danych.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference