CVE-2026-6275

StatCounter – إصدارات «إحصائيات الزوار في الوقت الفعلي المجانية» (Free Real Time Visitor Stats) السابقة للإصدار 2.1.2

يتعرض المكون الإضافي لثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting)، وهي ثغرة يتم فيها تخزين البرامج النصية الخبيثة بشكل دائم على الخادم المستهدف. ويحدث ذلك بسبب عدم كفاية عملية تصفية الإخراج الخاصة بالاسم المستعار لمؤلف المنشور داخل الدالة statcounter addToTags(). تستدعي هذه الدالة، المرتبطة بـ wp head والتي يتم تنفيذها في كل صفحة منشور، اسم المستخدم الخاص بالمؤلف باستخدام the author meta() وتعرضه في سياق سلسلة JavaScript محاطة بعلامتي اقتباس مزدوجتين داخل كتلة <script> دون استخدام esc js() أو أي آلية تصفية مكافئة. ونتيجة لذلك، يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المؤلف» أو أعلى حقن نصوص برمجية ويب تعسفية يتم تنفيذها عندما يقوم أي مستخدم، بما في ذلك الزوار غير المصادق عليهم، بعرض منشور كتبه المهاجم.

قم بتحديث المكون الإضافي إلى إصدار أحدث من 2.1.1.

كحل مؤقت، قم بتقييد حق الوصول للمستخدمين على مستوى «المؤلف» أو أعلى حتى يتم تطبيق التحديث.