XSS (Cross-Site Scripting) dans WP-Stats (WordPress plugin) (CVE-2026-19794)
Résumé
XSS dans WP-Stats (WordPress plugin) (CVE-2026-19794). Risque d'opérations non autorisées ou de divulgation.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
The WP-Stats plugin for WordPress is vulnerable to Stored Cross-Site Scripting in all versions up to, and including, 2.56 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé IA
Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.
Une vulnérabilité référencée CVE-2026-19794 a été découverte dans wordpress.
Risque d'opérations non autorisées ou de divulgation. Score CVSS : 7.2/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « wordpress CVE-2026-19794 » sur le site de l'éditeur.
CVE-2026-19794 (wordpress) — CWE-79 / CVSS v3 7.2
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
WordPressのWP-StatsプラグインにおけるストアドXSSの脆弱性
WP-Statsプラグイン バージョン2.56以下
任意のウェブスクリプトを注入可能で、ユーザーがページを訪問時にスクリプトが実行される可能性がある。
WP-Statsの新しいバージョンにアップデートし、入力サニタイズと出力エスケープを強化する。
プラグインを無効化して使用を控える。
脆弱なバージョンのプラグインがインストールされているかを確認する。
Références
- web security@wordfence.com
- web security@wordfence.com
- web nvd.nist.gov
- web github.com