CVE-2026-7634: Stored Cross-Site Scripting w wtyczce SlimStat Analytics dla WordPress

Co wiadomo

Wtyczka SlimStat Analytics dla WordPress do wersji 5.4.11 jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez nagłówek 'User-Agent' z powodu niewystarczającej sanitacji danych wejściowych i ucieczki znaków. Atakujący bez uwierzytelnienia mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanej strony, jeśli administrator włączy ustawienie show_complete_user_agent_tooltip.

Wpływ biznesowy

Podatność umożliwia atakującym wstrzyknięcie i wykonanie złośliwego kodu JavaScript na stronach korzystających z wtyczki SlimStat Analytics, co może prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub innych działań szkodliwych dla użytkowników i właścicieli serwisów. Ryzyko wzrasta, gdy opcja show_complete_user_agent_tooltip jest aktywna, co wymaga uwagi administratorów WordPressa.

Rekomendowane działania administratora

Administratorzy powinni zweryfikować wersję wtyczki SlimStat Analytics i rozważyć aktualizację do nowszej, wolnej od podatności wersji, jeśli jest dostępna. W przypadku braku łatki należy rozważyć wyłączenie opcji show_complete_user_agent_tooltip, ograniczyć ekspozycję serwisu oraz monitorować logi pod kątem podejrzanych aktywności. Zaleca się również przegląd i wzmocnienie mechanizmów sanitacji danych wejściowych.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference